Falha crítica no Bluetooth permite que hackers invadam fones sem fio e escutem conversas

Uma falha grave de segurança no Bluetooth colocou em risco centenas de milhões de fones de ouvido sem fio e outros acessórios de áudio em todo o mundo. Pesquisadores da Universidade Católica de Leuven, na Bélgica, descobriram uma vulnerabilidade crítica no protocolo Google Fast Pair, que permite que atacantes se conectem a dispositivos Bluetooth sem o conhecimento do usuário. Com isso, criminosos conseguem ouvir conversas, rastrear a localização da vítima e até assumir o controle total do acessório.

A vulnerabilidade foi batizada de WhisperPair e recebeu o identificador CVE-2025-36911. O problema não está no smartphone, mas sim na implementação incorreta do protocolo em acessórios de áudio, o que torna usuários de Android e iPhone igualmente vulneráveis.

O que é o WhisperPair e por que ele é tão perigoso

O WhisperPair explora falhas na forma como muitos fabricantes implementaram o Fast Pair, tecnologia criada pelo Google para facilitar o pareamento rápido de fones Bluetooth com celulares Android.

De acordo com a especificação oficial, um acessório Bluetooth deveria ignorar solicitações de pareamento quando não está em modo de emparelhamento. No entanto, diversos fabricantes não seguiram essa regra de forma rigorosa. Como resultado, dispositivos aceitam conexões sem autorização, sem aviso e sem qualquer interação do usuário.

Na prática, basta que o acessório esteja ligado e dentro do alcance do Bluetooth para que um invasor consiga explorá-lo.

Como o ataque acontece na prática

O ataque é simples, rápido e silencioso. Segundo os pesquisadores, o processo ocorre da seguinte forma:

1. Um dispositivo malicioso (celular, notebook ou até um Raspberry Pi) envia uma solicitação Fast Pair
2. O acessório vulnerável aceita a conexão, mesmo sem estar em modo de pareamento
3. O invasor assume o controle do dispositivo em segundos

O ataque pode ser realizado a uma distância de até 14 metros, dependendo do ambiente, e não exige acesso físico ao fone de ouvido.

O que hackers podem fazer após a invasão

Depois de explorada a falha, o atacante obtém controle total do acessório Bluetooth, o que abre uma série de possibilidades perigosas:

• Ouvir conversas por meio do microfone do fone
• Espionar reuniões, chamadas e ambientes privados
• Reproduzir sons em volume máximo, causando desconforto ou danos auditivos
• Rastrear a localização da vítima
• Descobrir hábitos de uso, como horários e locais frequentes

Um dos pontos mais críticos envolve o rastreamento. Caso o acessório não esteja vinculado à Conta Google do usuário, o invasor pode usar a rede “Localizador” do Google para acompanhar a movimentação do dispositivo.

Notificação enganosa facilita o ataque

Em alguns casos, a vítima até recebe uma notificação de rastreamento. No entanto, ela mostra a própria localização do usuário, o que faz parecer apenas um erro do sistema. Como resultado, muitas pessoas ignoram o alerta, permitindo que o monitoramento continue sem suspeitas.

Os pesquisadores classificam esse comportamento como um risco grave de engenharia social, pois o sistema acaba induzindo o usuário a confiar em uma situação perigosa.

Quais marcas e dispositivos são afetados

A vulnerabilidade afeta qualquer acessório de áudio que implemente o Google Fast Pair de forma incorreta. Entre as marcas citadas pelos pesquisadores estão:

• Google
• Sony
• JBL
• Jabra
• Logitech
• Marshall
• Nothing
• OnePlus
• Soundcore
• Xiaomi

O número exato de modelos afetados não foi divulgado, mas os especialistas afirmam que o total chega a centenas de milhões de dispositivos em circulação.

O problema não está no celular

Um ponto importante é que desativar o Fast Pair no celular não resolve o problema. Isso acontece porque a falha está no firmware do acessório, e não no sistema operacional do smartphone.

Mesmo usuários de iPhone estão vulneráveis, já que o ataque acontece diretamente no protocolo Bluetooth do dispositivo de áudio.

Google reconhece falha e paga recompensa máxima

Após ser notificada, a Google confirmou a gravidade do problema e concedeu aos pesquisadores uma recompensa de US$ 15 mil, o valor máximo do programa de bug bounty da empresa para esse tipo de falha.

Além disso, o Google afirmou que trabalhou em conjunto com os fabricantes para desenvolver atualizações de firmware que corrigem o problema.

No entanto, existe uma limitação importante: nem todos os dispositivos recebem atualizações automaticamente.

Como se proteger do WhisperPair

Atualmente, as opções de defesa são limitadas, mas algumas medidas ajudam a reduzir o risco:

• Atualize o firmware do fone de ouvido sempre que possível
• Verifique o app do fabricante em busca de atualizações de segurança
• Evite usar fones Bluetooth antigos ou sem suporte ativo
• Desconfie de comportamentos estranhos, como sons inesperados ou desconexões

Infelizmente, não existe uma solução universal para todos os modelos afetados. Se o fabricante não lançar uma atualização, o dispositivo pode permanecer vulnerável.

Por que essa falha é tão preocupante

O WhisperPair expõe um problema recorrente no mercado de tecnologia: recursos de conveniência sendo priorizados em detrimento da segurança. O Fast Pair foi criado para tornar o pareamento mais simples, mas a implementação relaxada abriu uma brecha grave.

Além disso, o caso mostra como dispositivos aparentemente simples, como fones de ouvido, podem se transformar em ferramentas de espionagem, especialmente em ambientes corporativos.

Os pesquisadores alertam que o ataque pode ser usado para:

• Espionagem industrial
• Vazamento de informações confidenciais
• Monitoramento de funcionários
• Vigilância direcionada

Lição para usuários e fabricantes

Para os usuários, o caso reforça a importância de manter dispositivos atualizados e desconfiar da ideia de que acessórios “simples” não representam riscos.

Para os fabricantes, o alerta é ainda mais claro: seguir especificações de segurança não é opcional. Uma implementação incorreta pode expor milhões de pessoas a riscos reais de privacidade.

Resumo do problema WhisperPair

• Falha crítica no Google Fast Pair
• Permite conexão sem autorização
• Afeta fones Bluetooth de várias marcas
• Hackers podem ouvir conversas e rastrear usuários
• Correção depende de atualização de firmware
• Não pode ser resolvido apenas no celular

A descoberta do WhisperPair deixa claro que, em um mundo cada vez mais conectado, qualquer dispositivo com microfone e conexão sem fio pode se tornar um vetor de ataque. Segurança digital, hoje, vai muito além de computadores e smartphones — ela começa também nos pequenos acessórios que usamos todos os dias.