O WhisperPair é um conjunto de ataques que permite a um invasor sequestrar muitos acessórios de áudio Bluetooth populares que utilizam o Google Fast Pair e, em alguns casos, até mesmo rastrear a sua localização através da rede Find Hub do Google — tudo isso sem exigir qualquer interação do utilizador.
Investigadores da Universidade Belga de Leuven revelaram uma série de vulnerabilidades que encontraram em acessórios de áudio que utilizam o protocolo Fast Pair da Google. Os acessórios afetados são vendidos por 10 empresas diferentes: Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech e a própria Google.
O Google Fast Pair é uma funcionalidade que torna o emparelhamento de auscultadores Bluetooth, headphones e acessórios similares com dispositivos Android rápido e fácil, sincronizando-os com a conta Google do utilizador.
O Google Fast Pair Service (GFPS) utiliza Bluetooth Low Energy (BLE) para descobrir dispositivos Bluetooth próximos. Muitas marcas de áudio de renome utilizam o Fast Pair nos seus produtos emblemáticos, pelo que a superfície de ataque potencial consiste em centenas de milhões de dispositivos.
A fraqueza reside no facto de o Fast Pair ignorar a verificação se um dispositivo está no modo de emparelhamento. Como resultado, um dispositivo controlado por um invasor, como um computador portátil, pode acionar o Fast Pair mesmo quando os auriculares estão nos ouvidos ou no bolso do utilizador, e então concluir rapidamente um emparelhamento Bluetooth normal e assumir o controlo total.
O que esse controlo permite depende das capacidades do dispositivo invadido. Isso pode variar desde reproduzir ruídos perturbadores até gravar áudio através de microfones integrados.
A situação agrava-se se o atacante for o primeiro a emparelhar o acessório com um Android dispositivo. Neste caso, a chave da conta do proprietário do atacante — que designa a sua conta Google como a do proprietário legítimo — é atribuída ao acessório. Se o acessório Fast Pair também for compatível com a rede Find Hub da Google, que muitas pessoas utilizam para localizar itens perdidos, o atacante poderá rastrear a localização do acessório.
O Google classificou esta vulnerabilidade, rastreada sob o número CVE-2025-36911, como crítica. No entanto, a única solução real é uma atualização de firmware ou software do fabricante do acessório, portanto, os utilizadores precisam verificar com a sua marca específica e instalar as atualizações do acessório, pois a atualização do telefone por si só não resolve o problema.
Como se manter seguro
Para descobrir se o seu dispositivo é vulnerável, os investigadores publicaram uma lista e recomendam manter todos os acessórios atualizados. A equipa de investigação testou 25 dispositivos comerciais de 16 fabricantes usando 17 chipsets Bluetooth diferentes. Eles conseguiram assumir o controlo da ligação e escutar o microfone em 68% dos dispositivos testados.
Estes são os dispositivos que os investigadores consideraram vulneráveis, mas é possível que outros também sejam afetados:
- Anker Soundcore Liberty 4 NC
- Google Pixel Buds Pro 2
- JBL TUNE BEAM
- Jabra Elite 8 Ativos
- Marshall MOTIF II A.N.C.
- Nothing Ear (a)
- OnePlus Nord Buds 3 Pro
- Sony WF-1000XM5
- Sony WH-1000XM4
- Sony WH-1000XM5
- Sony WH-1000XM6
- Sony WH-CH720N
- Xiaomi Redmi Buds 5 Pro
Os burlões sabem mais sobre si do que pensa.
Malwarebytes Mobile Security Protege-o contra phishing, mensagens de texto fraudulentas, sites maliciosos e muito mais. Com proteção contra burlas em tempo real e com inteligência artificial integrada.
