Une faille critique dans Fast Pair expose les utilisateurs Android à l’espionnage via leurs écouteurs Bluetooth
La fonction Fast Pair, développée par Google pour simplifier la connexion des écouteurs et casques Bluetooth avec les smartphones Android, cache une faille de sécurité majeure. Baptisée WhisperPair, cette vulnérabilité permet à des attaquants de détourner les connexions Bluetooth à distance, ouvrant la porte à des risques d’espionnage, d’écoute de conversations ou de suivi des déplacements.
Un mécanisme de connexion trop permissif
Fast Pair, devenu un standard pour le jumelage sans fil, repose sur un processus automatisé qui supprime les étapes fastidieuses de l’appairage traditionnel. Cependant, des chercheurs de l’université KU Leuven (Belgique) ont identifié une faille exploitant une implémentation défaillante du protocole. En théorie, un appareil Bluetooth ne devrait accepter une connexion que s’il est explicitement en mode appairage. En pratique, plusieurs modèles ignorent cette vérification, permettant à un attaquant de forcer une connexion même lorsque l’appareil n’est pas en mode pairing.
L’attaque, testée avec succès sur plus d’une dizaine de modèles issus de fabricants comme Sony, Nothing, JBL, OnePlus et Google, fonctionne jusqu’à 14 mètres de distance – la portée maximale du Bluetooth. Une fois la connexion détournée, les attaquants peuvent non seulement interrompre la musique ou diffuser des sons, mais aussi activer le microphone pour écouter les conversations, ou suivre les déplacements via le signal Bluetooth.
Un correctif partiel, mais des risques persistants
Google a publié un correctif pour ses propres produits, affirmant n’avoir connaissance d’aucune exploitation active de WhisperPair. Cependant, le problème persiste pour les utilisateurs d’autres marques, dont les mises à jour dépendent de leurs propres cycles de correction. Pire encore : Fast Pair ne peut pas être désactivé manuellement sur les appareils compatibles, et de nombreux utilisateurs ne mettent jamais à jour le firmware de leurs écouteurs ou casques, laissant les appareils vulnérables dans leur état d’origine.
Les chercheurs ont par ailleurs démontré qu’il était possible de contourner le premier correctif de Google, ce qui prolonge la fenêtre d’exposition pour les utilisateurs. Les recommandations pour limiter les risques restent limitées : installer l’application officielle du fabricant pour recevoir les mises à jour, ou, en dernier recours, réinitialiser complètement l’appareil (au prix de perdre ses configurations actuelles).
Cette faille illustre une fois de plus les défis de sécurité posés par l’IoT, où les objets connectés, souvent négligés en matière de mises à jour, deviennent des vecteurs d’espionnage ou de surveillance à grande échelle.