Brojni Bluetooth audio uređaji popularnih tvrtki kao što su Sony, Anker i Nothing podložni su novom sigurnosnom propustu koji napadačima može omogućiti prisluškivanje razgovora ili praćenje uređaja putem Googleove mreže Find Hub, kako je izvijestio The Verge. Ovaj problem pogađa širok spektar korisnika, neovisno o operativnom sustavu koji koriste na svojim mobitelima.

Istraživači iz grupe za računalnu sigurnost i industrijsku kriptografiju sa Sveučilišta KU Leuven u Belgiji otkrili su nekoliko ranjivosti u Googleovom Fast Pair protokolu. One omogućuju hakeru unutar Bluetooth dometa da se potajno upari s nekim slušalicama i zvučnicima. Napadi, koje su istraživači zajednički nazvali WhisperPair, mogu se iskoristiti čak i na korisnicima iPhonea koji posjeduju pogođene Bluetooth uređaje, unatoč tome što je Fast Pair specifična Googleova značajka.

Kako funkcionira WhisperPair napad

Fast Pair je tehnologija koja pojednostavljuje uparivanje Bluetooth uređaja i omogućuje bežičnim audio dodacima povezivanje s Android ili Chrome OS uređajima jednostavnim prislanjanjem. Međutim, istraživači su otkrili da mnogi proizvođači ne implementiraju Fast Pair ispravno. Konkretno, ignoriraju Googleovu specifikaciju koja nalaže da se Fast Pair uređaji ne bi smjeli moći povezati s novim uređajem dok su već upareni s drugim.

Istraživači su testirali svoje WhisperPair napade na više od 20 Bluetooth uređaja i uspjeli su hakirati njih 17. Uspješno su reproducirali vlastiti zvuk kroz kompromitirane slušalice i zvučnike pri bilo kojoj glasnoći, presretali telefonske pozive, pa čak i prisluškivali razgovore koristeći mikrofone uređaja.

Ozbiljniji problem otkriven je kod pet Sonyjevih proizvoda i Googleovih Pixel Buds Pro 2 slušalica. Ako ti uređaji prethodno nisu bili povezani s Android uređajem i Google računom (što nije uvjet pri korištenju s iPhoneima), WhisperPair bi se mogao iskoristiti za njihovo uparivanje i povezivanje s hakerovim Google računom, koji bi sustav prepoznao kao vlasnika uređaja.

To bi hakeru omogućilo korištenje Googleove Find Hub mreže za praćenje lokacije i kretanja korisnika putem njihovih slušalica, pod pretpostavkom da korisnik odbaci obavijesti mobitela koje upozoravaju da ih uređaj prati, smatrajući ih greškom.

Popis pogođenih uređaja 10 različitih tvrtki uključuje popularne modele kao što su Sony WH-1000XM6, WH-1000XM5 i WH-1000XM4 slušalice, te Nothing Ear (a), OnePlus Nord Buds 3 Pro i Anker Soundcore Liberty 4 NC slušalice.

Što kažu iz Googlea?

Istraživači su o svojim otkrićima izvijestili Google u kolovozu 2025. godine. Tvrtka je potom u rujnu preporučila rješenja svojim "partnerima proizvođačima dodatne opreme" i ažurirala svoje zahtjeve za certificiranje kako bi ublažila slične probleme u budućnosti.

"Surađivali smo s ovim istraživačima na ispravljanju ovih ranjivosti i nismo vidjeli dokaze o bilo kakvom iskorištavanju izvan laboratorijskih uvjeta ovog izvješća," rekao je glasnogovornik Googlea, Ed Fernandez u izjavi za The Verge.

Preporučeni popravci rješavaju sve probleme s Fast Pairom nakon što se instalira softversko ažuriranje. Ipak, Google je implementirao i dodatno ažuriranje za Find Hub mrežu kako bi spriječio korištenje WhisperPaira za praćenje određenih Bluetooth uređaja koji još nisu zakrpani. Istraživači su za Wired izjavili da im je trebalo samo nekoliko sati da zaobiđu tu zakrpu i nastave s praćenjem. Prema Fernandezu, istraživači su koristili "stari ili neažurirani firmver proizvođača kako bi izveli svoje rješenje," a Google "istražuje zaobilaženje ovog dodatnog popravka," koje je prijavljeno tek ranije ovog tjedna.

Fast Pair značajku nije moguće isključiti, pa je jedini način zaštite od WhisperPair napada da korisnici instaliraju ažuriranja firmvera koja objavljuju proizvođači.