WhisperPair è una serie di attacchi che consente a un hacker di dirottare molti accessori audio Bluetooth popolari che utilizzano Google Fast Pair e, in alcuni casi, persino di tracciare la loro posizione tramite la rete Find Hub di Google, il tutto senza richiedere alcuna interazione da parte dell'utente.
I ricercatori dell'Università belga di Lovanio hanno rivelato una serie di vulnerabilità riscontrate negli accessori audio che utilizzano il protocollo Fast Pair di Google. Gli accessori interessati sono venduti da 10 aziende diverse: Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech e la stessa Google.
Google Fast Pair è una funzione che rende l'accoppiamento di auricolari Bluetooth, cuffie e accessori simili con Android rapido e semplice, sincronizzandoli tramite l'account Google dell'utente.
Il servizio Google Fast Pair (GFPS) utilizza la tecnologia Bluetooth Low Energy (BLE) per individuare i dispositivi Bluetooth nelle vicinanze. Molti marchi audio di grande fama utilizzano Fast Pair nei loro prodotti di punta, quindi la superficie di attacco potenziale è costituita da centinaia di milioni di dispositivi.
Il punto debole risiede nel fatto che Fast Pair non verifica se un dispositivo è in modalità di accoppiamento. Di conseguenza, un dispositivo controllato da un malintenzionato, come un laptop, può attivare Fast Pair anche quando gli auricolari sono nelle orecchie o nella tasca dell'utente, quindi completare rapidamente un normale accoppiamento Bluetooth e assumere il controllo totale.
Ciò che tale controllo consente dipende dalle capacità del dispositivo compromesso. Ciò può variare dalla riproduzione di rumori fastidiosi alla registrazione audio tramite microfoni integrati.
La situazione peggiora se l'autore dell'attacco è il primo ad associare l'accessorio a un Android . In tal caso, la chiave dell'account proprietario dell'autore dell'attacco, che designa il suo account Google come quello del legittimo proprietario, viene associata all'accessorio. Se l'accessorio Fast Pair supporta anche la rete Find Hub di Google, che molte persone utilizzano per localizzare oggetti smarriti, l'autore dell'attacco potrebbe essere in grado di tracciare la posizione dell'accessorio.
Google ha classificato questa vulnerabilità, tracciata con il codice CVE-2025-36911, come critica. Tuttavia, l'unica soluzione reale è un aggiornamento del firmware o del software da parte del produttore dell'accessorio, quindi gli utenti devono verificare con il proprio marchio specifico e installare gli aggiornamenti degli accessori, poiché l'aggiornamento del solo telefono non risolve il problema.
Come stare al sicuro
Per scoprire se il proprio dispositivo è vulnerabile, i ricercatori hanno pubblicato un elenco e raccomandano di mantenere aggiornati tutti gli accessori. Il team di ricerca ha testato 25 dispositivi commerciali di 16 produttori utilizzando 17 diversi chipset Bluetooth. Sono riusciti a prendere il controllo della connessione e ad ascoltare il microfono sul 68% dei dispositivi testati.
Questi sono i dispositivi che i ricercatori hanno ritenuto vulnerabili, ma è possibile che anche altri siano interessati:
- Anker Soundcore Liberty 4 NC
- Google Pixel Buds Pro 2
- JBL TUNE BEAM
- Jabra Elite Active
- Marshall MOTIF II A.N.C.
- Niente Ear (a)
- OnePlus Nord Buds 3 Pro
- Sony WF-1000XM5
- Sony WH-1000XM4
- Sony WH-1000XM5
- Sony WH-1000XM6
- Sony WH-CH720N
- Xiaomi Redmi Buds 5 Pro
Non ci limitiamo a fornire informazioni sulla sicurezza del telefono, ma le forniamo.
I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi mobili scaricando oggi stesso Malwarebytes per iOS e Malwarebytes per Android.
