WhisperPair est un ensemble d'attaques qui permet à un pirate informatique de détourner de nombreux accessoires audio Bluetooth populaires qui utilisent Google Fast Pair et, dans certains cas, même de suivre leur emplacement via le réseau Find Hub de Google, le tout sans aucune interaction de la part de l'utilisateur.
Des chercheurs de l'université belge de Louvain ont révélé une série de vulnérabilités qu'ils ont découvertes dans des accessoires audio utilisant le protocole Fast Pair de Google. Les accessoires concernés sont commercialisés par 10 entreprises différentes : Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech et Google lui-même.
Google Fast Pair est une fonctionnalité qui permet de coupler rapidement et facilement des écouteurs, casques et accessoires Bluetooth similaires à Android , et de les synchroniser sur le compte Google de l'utilisateur.
Le service Google Fast Pair (GFPS) utilise la technologie Bluetooth Low Energy (BLE) pour détecter les appareils Bluetooth à proximité. De nombreuses grandes marques audio utilisent Fast Pair dans leurs produits phares, ce qui signifie que la surface d'attaque potentielle comprend des centaines de millions d'appareils.
La faiblesse réside dans le fait que Fast Pair ne vérifie pas si un appareil est en mode d'appairage. Par conséquent, un appareil contrôlé par un pirate, tel qu'un ordinateur portable, peut déclencher Fast Pair même lorsque les écouteurs sont dans l'oreille ou dans la poche de l'utilisateur, puis effectuer rapidement un appairage Bluetooth normal et prendre le contrôle total.
Les possibilités offertes par ce contrôle dépendent des capacités de l'appareil piraté. Elles peuvent aller de la diffusion de bruits perturbateurs à l'enregistrement audio via les microphones intégrés.
La situation empire si l'attaquant est le premier à associer l'accessoire à un Android . Dans ce cas, la clé de compte propriétaire de l'attaquant désigne son compte Google comme celui du propriétaire légitime de l'accessoire. Si l'accessoire Fast Pair prend également en charge le réseau Find Hub de Google, que de nombreuses personnes utilisent pour localiser des objets perdus, l'attaquant peut alors être en mesure de suivre l'emplacement de l'accessoire.
Google a classé cette vulnérabilité, référencée sous le numéro CVE-2025-36911, comme critique. Cependant, la seule solution réelle consiste à effectuer une mise à jour du micrologiciel ou du logiciel auprès du fabricant de l'accessoire. Les utilisateurs doivent donc vérifier auprès de leur marque spécifique et installer les mises à jour des accessoires, car la mise à jour du téléphone seul ne résout pas le problème.
Comment rester en sécurité
Pour savoir si votre appareil est vulnérable, les chercheurs ont publié une liste et recommandent de mettre à jour tous les accessoires. L'équipe de recherche a testé 25 appareils commerciaux provenant de 16 fabricants et utilisant 17 puces Bluetooth différentes. Ils ont réussi à prendre le contrôle de la connexion et à écouter le microphone sur 68 % des appareils testés.
Voici les appareils que les chercheurs ont jugés vulnérables, mais il est possible que d'autres soient également concernés :
- Anker Soundcore Liberty 4 NC
- Google Pixel Buds Pro 2
- JBL TUNE BEAM
- Jabra Elite Active
- Marshall MOTIF II A.N.C.
- Nothing Ear (a)
- OnePlus Nord Buds 3 Pro
- Sony WF-1000XM5
- Sony WH-1000XM4
- Sony WH-1000XM5
- Sony WH-1000XM6
- Sony WH-CH720N
- Xiaomi Redmi Buds 5 Pro
Nous ne nous contentons pas d'informer sur la sécurité des téléphones, nous la fournissons.
Les risques de cybersécurité ne devraient jamais se propager au-delà d'un titre. Éloignez les menaces de vos appareils mobiles en téléchargeant dès aujourd'hui Malwarebytes pour iOS et Malwarebytes pour Android.
