WhisperPair: la vulnerabilità critica negli auricolari Bluetooth che permette tracciamento e intercettazione

Scoperta dai ricercatori dell'Università di Lovanio, la falla WhisperPair colpisce il sistema Fast Pair di Google, esponendo milioni di dispositivi a rischi di…

Contenuto

WhisperPair: la vulnerabilità critica negli auricolari Bluetooth che permette tracciamento e intercettazione

Scopri anche

WhisperPair: la vulnerabilità critica negli auricolari Bluetooth che permette tracciamento e intercettazione

WhisperPair: la vulnerabilità critica negli auricolari Bluetooth che permette tracciamento e intercettazione

In questo articolo:

Il cuore del problema nell'ecosistema Fast Pair

⬆ Torna su Un team di ricercatori dell'Università KU di Lovanio, in Belgio, ha identificato una famiglia di vulnerabilità critiche denominate collettivamente WhisperPair. Queste falle di sicurezza interessano l'implementazione di Google Fast Pair, la tecnologia progettata per facilitare la sincronizzazione immediata tra dispositivi e accessori audio. La vulnerabilità risiede nel firmware dell'accessorio stesso e non nello smartphone, caratteristica che rende il problema trasversale e indipendente dal sistema operativo utilizzato. Anche gli utenti iPhone che impiegano cuffie compatibili con Fast Pair risultano esposti allo stesso rischio.

Meccanismo dell'attacco e modalità operative

⬆ Torna su Il processo di attacco sfrutta una mancanza di verifica nel protocollo di accoppiamento. Normalmente, un dispositivo "cercatore" invia un messaggio a un accessorio audio manifestando l'intenzione di accoppiarsi. Secondo le specifiche di sicurezza, il dispositivo fornitore dovrebbe ignorare tali richieste se non è stato posto esplicitamente in modalità di accoppiamento dall'utente. I ricercatori hanno però riscontrato che molti dispositivi non riescono a far rispettare questo controllo nella pratica. Un aggressore posizionato entro un raggio di 14 metri può sfruttare questa lacuna per stabilire una connessione Bluetooth standard in una mediana di soli 10 secondi, bypassando completamente il consenso dell'utente.

Conseguenze pratiche per la privacy degli utenti

⬆ Torna su Una volta stabilita la connessione non autorizzata, l'attaccante ottiene il controllo completo dell'accessorio. Le possibili azioni includono la riproduzione di suoni ad alto volume, l'intercettazione dell'audio ambientale tramite il microfono integrato e, scenario particolarmente insidioso, il tracciamento della posizione fisica della vittima. Quest'ultima funzionale viene attuata sfruttando la rete globale Find Hub di Google. Se un paio di cuffie non è mai stato associato a un account Google, un attaccante può farlo al posto dell'utente legittimo, permettendo la ricostruzione degli spostamenti attraverso le segnalazioni di dispositivi Android nelle vicinanze.

Panorama dei dispositivi interessati

⬆ Torna su La problematica non è limitata a un singolo produttore, ma rappresenta un fallimento sistemico che coinvolge centinaia di milioni di dispositivi attualmente in commercio. Tra i prodotti interessati figurano modelli di punta come le Google Pixel Buds Pro 2, le cuffie Sony della serie WH-1000XM (incluse le versioni XM4, XM5 e XM6), oltre a prodotti di brand come OnePlus, Nothing, JBL, Xiaomi, Jabra, Marshall, Soundcore e Logitech. Il fatto che questi dispositivi abbiano superato sia i controlli di qualità dei produttori sia il processo di certificazione di Google evidenzia una falla nella catena di verifica della sicurezza a livello industriale.

Risposta dell'industria e classificazione della vulnerabilità

⬆ Torna su Google è stato informato della problematica nell'agosto 2025 e ha classificato la vulnerabilità come critica con il codice CVE-2025-36911. Secondo i ricercatori, l'azienda potrebbe collaborare con i propri partner dell'ecosistema per rilasciare patch di sicurezza. Alcuni produttori hanno già distribuito aggiornamenti correttivi, ma i ricercatori nutrono dubbi sulla loro reale efficacia e segnalano che non tutte le patch sembrano risolutive. La disponibilità degli aggiornamenti non è ancora garantita per tutti i dispositivi vulnerabili.

Misure di protezione e limiti dell'attacco

⬆ Torna su La difesa efficace richiede l'aggiornamento del firmware dell'accessorio vulnerabile. Aggiornare il sistema operativo dello smartphone o il ripristino delle impostazioni di fabbrica delle cuffie non risolve il problema alla radice, in quanto queste operazioni non correggono il difetto del codice che permette l'intrusione. L'attacco presenta comunque limiti operativi: deve svolgersi in prossimità della vittima e non può essere portato a termine quando le cuffie sono all'interno della custodia chiusa. Gli utenti che hanno già associato correttamente gli auricolari al proprio account Google e mantengono aggiornati software e firmware hanno minori probabilità di esposizione.

Implicazioni per il futuro della sicurezza Bluetooth

⬆ Torna su I ricercatori sottolineano che WhisperPair dimostra una catena di fallimenti di conformità in Google Fast Pair, poiché la vulnerabilità non è stata rilevata a tutti e tre i livelli: implementazione, convalida e certificazione. Questo caso evidenzia come funzionalità progettate per migliorare l'esperienza utente possano trasformarsi in potenziali vettori di attacco quando non adeguatamente protette.

Questo articolo è stato redatto esclusivamente sulla base delle fonti elencate, senza aggiunte speculative o informazioni esterne.

Fonti

⬆ Torna su

In breve

  • bluetooth
  • fastpair
  • google
  • vulnerabilità

Link utili

Apri l'articolo su DeafNews