O WhisperPair é um conjunto de ataques que permite a um invasor sequestrar muitos acessórios de áudio Bluetooth populares que utilizam o Google Fast Pair e, em alguns casos, até mesmo rastrear a sua localização através da rede Find Hub do Google — tudo isso sem exigir qualquer interação do utilizador.
Investigadores da Universidade Belga de Leuven revelaram uma série de vulnerabilidades que encontraram em acessórios de áudio que utilizam o protocolo Fast Pair da Google. Os acessórios afetados são vendidos por 10 empresas diferentes: Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech e a própria Google.
O Google Fast Pair é um recurso que torna o emparelhamento de auriculares Bluetooth, auscultadores e acessórios semelhantes com Android rápido e simples, além de sincronizá-los na conta Google do utilizador.
O Google Fast Pair Service (GFPS) utiliza Bluetooth Low Energy (BLE) para descobrir dispositivos Bluetooth próximos. Muitas marcas de áudio de renome utilizam o Fast Pair nos seus produtos emblemáticos, pelo que a superfície de ataque potencial consiste em centenas de milhões de dispositivos.
A fraqueza reside no facto de o Fast Pair ignorar a verificação se um dispositivo está no modo de emparelhamento. Como resultado, um dispositivo controlado por um invasor, como um computador portátil, pode acionar o Fast Pair mesmo quando os auriculares estão nos ouvidos ou no bolso do utilizador, e então concluir rapidamente um emparelhamento Bluetooth normal e assumir o controlo total.
O que esse controlo permite depende das capacidades do dispositivo invadido. Isso pode variar desde reproduzir ruídos perturbadores até gravar áudio através de microfones integrados.
A situação piora se o invasor for o primeiro a emparelhar o acessório com um Android . Nesse caso, a chave da conta do proprietário do invasor — designando a sua conta Google como a do proprietário legítimo — será atribuída ao acessório. Se o acessório Fast Pair também for compatível com a rede Find Hub do Google, que muitas pessoas utilizam para localizar itens perdidos, o invasor poderá rastrear a localização do acessório.
O Google classificou esta vulnerabilidade, rastreada sob o número CVE-2025-36911, como crítica. No entanto, a única solução real é uma atualização de firmware ou software do fabricante do acessório, portanto, os utilizadores precisam verificar com a sua marca específica e instalar as atualizações do acessório, pois a atualização do telefone por si só não resolve o problema.
Como se manter seguro
Para descobrir se o seu dispositivo é vulnerável, os investigadores publicaram uma lista e recomendam manter todos os acessórios atualizados. A equipa de investigação testou 25 dispositivos comerciais de 16 fabricantes usando 17 chipsets Bluetooth diferentes. Eles conseguiram assumir o controlo da ligação e escutar o microfone em 68% dos dispositivos testados.
Estes são os dispositivos que os investigadores consideraram vulneráveis, mas é possível que outros também sejam afetados:
- Anker Soundcore Liberty 4 NC
- Google Pixel Buds Pro 2
- JBL TUNE BEAM
- Jabra Elite Active
- Marshall MOTIF II A.N.C.
- Nothing Ear (a)
- OnePlus Nord Buds 3 Pro
- Sony WF-1000XM5
- Sony WH-1000XM4
- Sony WH-1000XM5
- Sony WH-1000XM6
- Sony WH-CH720N
- Xiaomi Redmi Buds 5 Pro
Não nos limitamos a informar sobre a segurança dos telemóveis - fornecemo-la
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos móveis descarregando hoje mesmo Malwarebytes para iOS e Malwarebytes para Android.
