Una vulnerabilidad crítica en el protocolo Fast Pair de Google permite a los atacantes secuestrar accesorios de audio Bluetooth y rastrear a los usuarios sin su conocimiento ni consentimiento. Investigadores de seguridad de KU Leuven han descubierto una falla, registrada como CVE-2025-36911 y denominada WhisperPair, que afecta a cientos de millones de auriculares inalámbricos, audífonos y altavoces de fabricantes importantes, incluyendo Sony, entre otros.

Una vulnerabilidad crítica en el protocolo Fast Pair de Google permite a los atacantes secuestrar accesorios de audio Bluetooth y rastrear a los usuarios sin su conocimiento ni consentimiento.

Investigadores de seguridad de KU Leuven han descubierto una vulnerabilidad, registrada como CVE-2025-36911 y bautizada como WhisperPair, que afecta a cientos de millones de auriculares inalámbricos, cascos y altavoces de fabricantes importantes.

Entre ellos se incluyen Sony, Anker, Google, Jabra, JBL, Logitech, Marshall, Nothing, OnePlus, Soundcore y Xiaomi.

Google clasificó el problema como crítico y otorgó a los investigadores la recompensa máxima posible de $15.000. La falla proviene de una implementación incorrecta del protocolo Fast Pair.

Falla crítica en la implementación de Fast Pair

Según la especificación de Fast Pair, los accesorios Bluetooth deberían ignorar las solicitudes de emparejamiento cuando no están en modo de emparejamiento.

Sin embargo, muchos dispositivos emblemáticos no aplican esta verificación de seguridad crítica, lo que permite que dispositivos no autorizados inicien el proceso de emparejamiento sin interacción del usuario.

Los atacantes pueden explotar WhisperPair utilizando cualquier dispositivo estándar con capacidad Bluetooth, como un portátil, un smartphone o un Raspberry Pi.

El ataque tiene éxito en un tiempo medio de 10 segundos a distancias de hasta 14 metros, sin necesidad de acceso físico al dispositivo vulnerable.

Una vez emparejados, los atacantes obtienen control total sobre el accesorio de audio, lo que les permite reproducir sonido a alto volumen o grabar conversaciones a través del micrófono integrado.

Además, si un accesorio nunca se ha emparejado con un dispositivo Android, los atacantes pueden añadirlo a su propia cuenta de Google y rastrear la ubicación de la víctima utilizando la red Find Hub de Google.

La notificación de rastreo que aparece muestra el propio dispositivo de la víctima, lo que puede llevar a los usuarios a descartar la advertencia como un error del sistema, permitiendo una vigilancia prolongada.

Vulnerabilidad multiplataforma

La vulnerabilidad afecta a usuarios de todas las plataformas, ya que la falla existe en los propios accesorios, no en los smartphones.

Los usuarios de iPhone con dispositivos Bluetooth vulnerables enfrentan los mismos riesgos que los usuarios de Android. Dado que la funcionalidad Fast Pair no se puede desactivar en los accesorios, incluso los usuarios fuera del ecosistema Android siguen siendo vulnerables.

Los investigadores de WhisperPair informaron de sus hallazgos a Google en agosto de 2025, acordando un plazo de divulgación de 150 días para que los fabricantes lanzaran parches de seguridad.

La única mitigación efectiva es instalar actualizaciones de firmware de los fabricantes de los dispositivos.

Aunque muchos fabricantes han lanzado parches, es posible que las actualizaciones de software aún no estén disponibles para todos los dispositivos vulnerables.

Tú debes consultar el manual de tu accesorio para obtener instrucciones sobre cómo actualizar el firmware y verificar la disponibilidad de parches directamente con los fabricantes.

La vulnerabilidad WhisperPair representa un fallo sistémico, ya que los dispositivos vulnerables pasaron tanto el control de calidad del fabricante como el proceso de certificación de Google antes de llegar al mercado a gran escala.