O WhisperPair é um conjunto de ataques que permite a um invasor sequestrar muitos acessórios de áudio Bluetooth populares que utilizam o Google Fast Pair e, em alguns casos, até mesmo rastrear sua localização através da rede Find Hub do Google — tudo isso sem exigir qualquer interação do usuário.
Pesquisadores da Universidade de Leuven, na Bélgica, revelaram uma série de vulnerabilidades encontradas em acessórios de áudio que utilizam o protocolo Fast Pair do Google. Os acessórios afetados são comercializados por 10 empresas diferentes: Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech e a própria Google.
O Google Fast Pair é um recurso que torna o emparelhamento de fones de ouvido Bluetooth, headphones e acessórios semelhantes com Android rápido e fácil, além de sincronizá-los na conta Google do usuário.
O Serviço Google Fast Pair (GFPS) utiliza Bluetooth Low Energy (BLE) para detectar dispositivos Bluetooth próximos. Muitas marcas de áudio de renome utilizam o Fast Pair em seus produtos principais, pelo que a superfície de ataque potencial consiste em centenas de milhões de dispositivos.
A vulnerabilidade reside no fato de que o Fast Pair ignora a verificação se um dispositivo está no modo de emparelhamento. Como resultado, um dispositivo controlado por um invasor, como um laptop, pode acionar o Fast Pair mesmo quando os fones de ouvido estão no ouvido ou no bolso do usuário, e então concluir rapidamente um emparelhamento Bluetooth normal e assumir o controle total.
O que esse controle permite depende dos recursos do dispositivo invadido. Isso pode variar desde reproduzir ruídos perturbadores até gravar áudio por meio de microfones embutidos.
A situação piora se o invasor for o primeiro a emparelhar o acessório com um Android . Nesse caso, a Chave da Conta do Proprietário do invasor — designando sua conta do Google como a do proprietário legítimo — será associada ao acessório. Se o acessório Fast Pair também for compatível com a rede Find Hub do Google, que muitas pessoas usam para localizar itens perdidos, o invasor poderá rastrear a localização do acessório.
O Google classificou essa vulnerabilidade, rastreada sob o número CVE-2025-36911, como crítica. No entanto, a única solução real é uma atualização de firmware ou software do fabricante do acessório, portanto, os usuários precisam verificar com sua marca específica e instalar as atualizações do acessório, pois a atualização do telefone por si só não resolve o problema.
Como se manter seguro
Para descobrir se o seu dispositivo é vulnerável, os pesquisadores publicaram uma lista e recomendam manter todos os acessórios atualizados. A equipe de pesquisa testou 25 dispositivos comerciais de 16 fabricantes usando 17 chipsets Bluetooth diferentes. Eles conseguiram assumir o controle da conexão e escutar o microfone em 68% dos dispositivos testados.
Estes são os dispositivos que os pesquisadores consideraram vulneráveis, mas é possível que outros também sejam afetados:
- Anker Soundcore Liberty 4 NC
- Google Pixel Buds Pro 2
- JBL TUNE BEAM
- Jabra Elite Active
- Marshall MOTIF II A.N.C.
- Nothing Ear (a)
- OnePlus Nord Buds 3 Pro
- Sony WF-1000XM5
- Sony WH-1000XM4
- Sony WH-1000XM5
- Sony WH-1000XM6
- Sony WH-CH720N
- Xiaomi Redmi Buds 5 Pro
Não nos limitamos a informar sobre segurança telefônica - nós a fornecemos
Os riscos de segurança cibernética nunca devem se espalhar além de uma manchete. Mantenha as ameaças longe de seus dispositivos móveis fazendo o download Malwarebytes para iOS e Malwarebytes para Android hoje mesmo.
