⭐ נקודות עיקריות
- חוקרים בלגים חשפו את WhisperPair, פרצת אבטחה חמורה בפרוטוקול הצימוד המהיר של גוגל.
- הפרצה מאפשרת לתוקפים להשתלט על אוזניות ורמקולים מרחוק ולבצע מעקב מיקום.
- הפגיעות רלוונטית למאות מיליוני מכשירים ממותגים מובילים כמו סוני, JBL ושיאומי.
- הפתרון היחיד הוא עדכון קושחה (Firmware) דרך האפליקציה הייעודית של היצרן.
חוקרי אבטחה מאוניברסיטת KU Leuven בבלגיה חשפו פרצת אבטחה שזכתה לשם WhisperPair.
הפרצה מנצלת ליקויים ביישום פרוטוקול הצימוד המהיר של גוגל (Fast Pair) ומאפשרת לתוקפים לבצע צימוד כפוי לאביזרי Bluetooth כמו אוזניות ורמקולים ללא אישור המשתמש, ובכך חושפת מיליוני משתמשים לסכנות פרטיות חמורות.
הגילוי, שדווח לגוגל באוגוסט 2025 וסווג כקריטי תחת המזהה CVE-2025-36911, מצביע על כשל מערכתי באופן שבו יצרניות רבות הטמיעו את מנגנון החיבור המהיר במוצריהן.
מנגנון הפרצה: כיצד עובד WhisperPair
שורש הבעיה טמון באופן שבו אביזרים מאמתים בקשות צימוד. על פי תקן ה-Fast Pair, כאשר טלפון שולח בקשת צימוד לאביזר, האביזר אמור להתעלם מהבקשה אם הוא אינו נמצא במצב צימוד (Pairing Mode).
המחקר מצא כי מכשירים רבים אינם מבצעים את הבדיקה הזו בפועל. כתוצאה מכך, תוקף הנמצא בטווח קליטה של ה-Bluetooth (עד כ-14 מטרים) יכול לשלוח בקשת צימוד כפויה שהאביזר יקבל אוטומטית. התהליך כולו אורך שניות בודדות ואינו דורש כל אינטראקציה מצד המשתמש או גישה פיזית למכשיר.
לאחר ביצוע הצימוד הכפוי, התוקף מקבל שליטה מלאה על ערוץ האודיו של האביזר. המשמעות היא יכולת להשמיע רעשים בעוצמה גבוהה, או חמור מכך – להפעיל את המיקרופון ולהאזין לשיחות ולסביבת המשתמש ללא ידיעתו.
מעקב מיקום וסכנות נוספות
מעבר להאזנה, הפרצה מאפשרת ניצול של רשת “מצא את המכשיר” (Find My Device) של גוגל למטרות מעקב.
אם האביזר הפגיע מעולם לא צומד למכשיר אנדרואיד (למשל, בשימוש אצל משתמשי אייפון), התוקף יכול לרשום את האביזר תחת חשבון הגוגל שלו ולהפוך ל”בעלים” של המכשיר ברשת.
במצב זה, התוקף יכול לקבל דיווחי מיקום שוטפים על האביזר דרך הרשת השיתופית של גוגל. הקורבן עשוי לקבל התראה על כך שאביזר לא מוכר עוקב אחריו, אך מכיוון שההתראה תציג את המכשיר הפרטי שלו (למשל, האוזניות שלו), משתמשים רבים עשויים לפטור זאת כתקלה טכנית ולא כמתקפה פעילה.
חשוב לציין כי מכיוון שהחולשה נמצאת בקושחת האביזר עצמו ולא בטלפון, משתמשי כלל המערכות – כולל iOS, Windows ו-macOS – חשופים למתקפה כל עוד הם משתמשים באביזרים התומכים ב-Fast Pair שלא עודכנו.
איזה מכשירים מושפעים והדרך להתגונן
המחקר מצא כי הפגיעות חוצה מותגים וצ’יפסטים, ומשפיעה על מגוון רחב של מוצרים שעברו את בדיקות האיכות וההסמכה של גוגל.
בין המותגים שצוינו ברשימת המכשירים הפגיעים ניתן למצוא שמות בולטים כמו סוני (כולל סדרת WH-1000XM4/5/6), גוגל (Pixel Buds Pro 2), וכן דגמים מבית JBL, OnePlus, Nothing, Xiaomi, Logitech ו-Marshall.
הדרך היחידה לתקן את הפרצה היא באמצעות עדכון קושחה לאביזר עצמו. ביטול אפשרות ה-Fast Pair בטלפון האנדרואיד אינו מונע את המתקפה, שכן החולשה קיימת באוזניות עצמן.
מומלץ לכל המשתמשים באביזרים תומכי Fast Pair להוריד את האפליקציה הייעודית של יצרן האוזניות ולבדוק האם קיים עדכון זמין להורדה.
סרטון הדגמת פרצת ה-WhisperPair:
