WhisperPair è una serie di attacchi che consente a un hacker di dirottare molti accessori audio Bluetooth popolari che utilizzano Google Fast Pair e, in alcuni casi, persino di tracciare la loro posizione tramite la rete Find Hub di Google, il tutto senza richiedere alcuna interazione da parte dell'utente.
I ricercatori dell'Università belga di Lovanio hanno rivelato una serie di vulnerabilità riscontrate negli accessori audio che utilizzano il protocollo Fast Pair di Google. Gli accessori interessati sono venduti da 10 aziende diverse: Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech e la stessa Google.
Google Fast Pair è una funzione che consente di abbinare auricolari Bluetooth, cuffie e accessori simili a dispositivi Android in modo rapido e semplice, sincronizzandoli con l'account Google dell'utente.
Il servizio Google Fast Pair (GFPS) utilizza la tecnologia Bluetooth Low Energy (BLE) per individuare i dispositivi Bluetooth nelle vicinanze. Molti marchi audio di grande fama utilizzano Fast Pair nei loro prodotti di punta, quindi la superficie di attacco potenziale è costituita da centinaia di milioni di dispositivi.
Il punto debole risiede nel fatto che Fast Pair non verifica se un dispositivo è in modalità di accoppiamento. Di conseguenza, un dispositivo controllato da un malintenzionato, come un laptop, può attivare Fast Pair anche quando gli auricolari sono nelle orecchie o nella tasca dell'utente, quindi completare rapidamente un normale accoppiamento Bluetooth e assumere il controllo totale.
Ciò che tale controllo consente dipende dalle capacità del dispositivo compromesso. Ciò può variare dalla riproduzione di rumori fastidiosi alla registrazione audio tramite microfoni integrati.
La situazione peggiora se l'aggressore è il primo ad abbinare l'accessorio a un Android dispositivo. In tal caso, la chiave dell'account del proprietario dell'attaccante, che designa il suo account Google come proprietario legittimo, associata all'accessorio. Se l'accessorio Fast Pair supporta anche la rete Google Find Hub, che molte persone utilizzano per localizzare oggetti smarriti, l'attaccante potrebbe essere in grado di tracciare la posizione dell'accessorio.
Google ha classificato questa vulnerabilità, tracciata con il codice CVE-2025-36911, come critica. Tuttavia, l'unica soluzione reale è un aggiornamento del firmware o del software da parte del produttore dell'accessorio, quindi gli utenti devono verificare con il proprio marchio specifico e installare gli aggiornamenti degli accessori, poiché l'aggiornamento del solo telefono non risolve il problema.
Come stare al sicuro
Per scoprire se il proprio dispositivo è vulnerabile, i ricercatori hanno pubblicato un elenco e raccomandano di mantenere aggiornati tutti gli accessori. Il team di ricerca ha testato 25 dispositivi commerciali di 16 produttori utilizzando 17 diversi chipset Bluetooth. Sono riusciti a prendere il controllo della connessione e ad ascoltare il microfono sul 68% dei dispositivi testati.
Questi sono i dispositivi che i ricercatori hanno ritenuto vulnerabili, ma è possibile che anche altri siano interessati:
- Anker Soundcore Liberty 4 NC
- Google Pixel Buds Pro 2
- JBL TUNE BEAM
- Jabra Elite 8 Attivi
- Marshall MOTIF II A.N.C.
- Niente Ear (a)
- OnePlus Nord Buds 3 Pro
- Sony WF-1000XM5
- Sony WH-1000XM4
- Sony WH-1000XM5
- Sony WH-1000XM6
- Sony WH-CH720N
- Xiaomi Redmi Buds 5 Pro
I truffatori sanno più cose su di te di quanto tu creda.
Malwarebytes Mobile Security Ti protegge da phishing, SMS truffaldini, siti dannosi e altro ancora. Con Scam Guard integrato, basato sull'intelligenza artificiale e disponibile in tempo reale.
