Fones de ouvido Bluetooth podem estar vulneráveis a ataques

21/01/2026 mindsecblog Notícias 0

Seus fones de ouvido Bluetooth podem estar vulneráveis a ataques – veja o que fazer a seguir.

O Google Fast Pair oferece a conveniência de emparelhar acessórios com um único clique, mas sua implementação inadequada criou um novo risco de segurança. Verifique se o seu dispositivo já foi atualizado.

Pesquisadores revelaram o WhisperPair, um conjunto de vulnerabilidades que afeta um protocolo comumente usado para emparelhar fones de ouvido, auriculares e outros produtos de áudio com dispositivos Bluetooth.

Principais conclusões

As vulnerabilidades do WhisperPair afetam um protocolo para conectar dispositivos e produtos de áudio.
Os invasores podem assumir o controle de um dispositivo de áudio, adulterar os controles e potencialmente ouvir suas conversas.
Muitos fornecedores lançaram correções, mas alguns dispositivos ainda são vulneráveis.

O que é WhisperPair?

Conforme noticiado inicialmente pela Wired , o WhisperPair foi descoberto por uma equipe de pesquisadores da Universidade KU Leuven, na Bélgica, com o apoio do Programa de Pesquisa em Segurança Cibernética do governo.

As descobertas estão relacionadas à implementação inadequada do protocolo Fast Pair do Google, que permite o emparelhamento com um único toque e a sincronização de contas entre acessórios Bluetooth. Se o protocolo não for implementado corretamente, uma falha de segurança é introduzida, “permitindo que um invasor sequestre dispositivos e rastreie vítimas usando a rede Find Hub do Google”, de acordo com os pesquisadores.

A vulnerabilidade foi relatada ao Google de forma privada em agosto de 2025 e recebeu uma classificação crítica sob o código CVE-2025-36911 . Um prazo de divulgação de 150 dias foi acordado e uma recompensa de US$ 15.000 foi concedida.

Como funciona o WhisperPair?

O WhisperPair ocorre porque muitos acessórios de áudio ignoram uma “etapa crítica” durante o emparelhamento rápido (Fast Pair). Funciona assim: um “buscador” — como um dispositivo móvel com Bluetooth — envia uma mensagem ao “provedor”, um acessório de áudio. A mensagem inclui uma solicitação de emparelhamento.

Embora o protocolo Fast Pair especifique que essas mensagens devem ser ignoradas quando um acessório não estiver em modo de emparelhamento, essa verificação nem sempre é realizada, permitindo que dispositivos não autorizados iniciem o emparelhamento sem permissão.

“Após receber uma resposta do dispositivo vulnerável, um invasor pode concluir o procedimento de emparelhamento rápido estabelecendo um emparelhamento Bluetooth normal”, afirmam os pesquisadores.

O que o WhisperPair pode fazer?

Se um atacante conseguir emparelhar secretamente seu dispositivo de rastreamento com fones de ouvido vulneráveis, ele poderá obter controle total sobre eles, incluindo a possibilidade de alterar controles como o volume. Mais importante ainda, ele poderá gravar silenciosamente conversas feitas usando os microfones embutidos.

Os ataques WhisperPair foram testados em um alcance de até 14 metros e podem ser realizados sem fio.

Infelizmente, não termina aí. Se um dispositivo for compatível, mas não estiver registrado na rede Find Hub do Google , os invasores poderiam, teoricamente, registrar o dispositivo alvo em sua própria conta e rastrear o acessório — e seu usuário. Embora uma notificação de rastreamento inesperada apareça, apenas o dispositivo do próprio usuário será exibido — e, portanto, esse aviso pode ser ignorado.

Quais dispositivos são afetados?

Fones de ouvido e acessórios de áudio de empresas como Google, Sony, Harman (JBL) e Anker estão entre os itens listados como vulneráveis no momento da redação deste texto.

Como o WhisperPair explora uma falha na implementação do Fast Pair em acessórios Bluetooth, os dispositivos Android não são os únicos em risco. Usuários de iPhone com acessórios vulneráveis também são afetados.

Como posso saber se meu dispositivo é vulnerável?

A equipe de pesquisa publicou um catálogo de fones de ouvido, auriculares e outros acessórios de áudio populares que foram testados. Há uma função de busca útil que você pode usar para verificar se o seu produto está na lista: navegue ou digite o nome do fabricante para visualizar o status do produto de seu interesse, e o diretório indicará se ele é vulnerável a ataques WhisperPair.

O que devo fazer a seguir?

Se o seu acessório ainda estiver identificado como vulnerável a esse ataque, verifique primeiro se há alguma correção disponível por parte do fornecedor. Mesmo que o seu dispositivo seja descrito como “não vulnerável”, ainda assim é recomendável verificar se ele está atualizado e se todas as novas atualizações de software foram instaladas.

Como observam os pesquisadores, “a única maneira de prevenir ataques WhisperPair é instalar uma atualização de software fornecida pelo fabricante”. Você pode verificar os aplicativos ou sites dos fornecedores para ver se há alguma atualização disponível, mas, caso contrário, infelizmente, resta apenas esperar. Se o seu acessório for compatível com o Find Hub, mas ainda não tiver sido emparelhado com um dispositivo Android, a equipe afirma que os invasores podem “rastrear sua localização”, portanto, ele deve ser atualizado assim que uma correção estiver disponível.

Mesmo que você consiga desativar o Fast Pair no seu smartphone, isso não eliminará o risco de comprometimento.

“Até onde sabemos, os acessórios compatíveis têm o Fast Pair ativado por padrão, sem opção para desativá-lo”, acrescentaram os pesquisadores. “A única maneira de evitar ataques WhisperPair é atualizando o firmware do acessório.”

Por: Charlie Osborne, redator colaborador ZDNET

Clique e fale com representante oficial Sophos