Mettez à jour maintenant ! Une faille Bluetooth permet aux attaquants de détourner silencieusement des accessoires

Résumé créé par Smart Answers AI

En résumé:

PCWorld rapporte qu’une vulnérabilité Bluetooth critique appelée WhisperPair permet aux attaquants de détourner des accessoires et de les suivre à l’échelle mondiale via le réseau Find Hub de Google.
La faille affecte les appareils Bluetooth dotés d’implémentations Fast Pair obsolètes, permettant aux attaquants d’écouter les conversations ou de lire du contenu audio non autorisé.
Les utilisateurs doivent immédiatement mettre à jour le micrologiciel de leur appareil Bluetooth ou effectuer des réinitialisations d’usine pour supprimer les couplages non autorisés et se protéger contre toute exploitation.

Les experts en sécurité du groupe de recherche sur la sécurité informatique et la cryptographie industrielle (COSIC) mettent en garde contre une grave vulnérabilité de sécurité Bluetooth qui pourrait affecter des millions d’écouteurs, haut-parleurs et autres accessoires sans fil dans le monde. Si vous possédez des appareils Bluetooth, vous devez vérifier dès que possible si des mises à jour du micrologiciel sont disponibles et si c’est le cas, installez-les dès que possible.

La vulnérabilité existe dans le service Fast Pair Service (GFPS) de Google, conçu pour permettre une découverte et un couplage plus rapides des accessoires Bluetooth. La vulnérabilité a été découverte en août 2025, mais un exploit fonctionnel appelé WhisperPair a maintenant été publiquement documenté.

Les attaquants peuvent exploiter GFPS pour prendre le contrôle des appareils Bluetooth à proximité sans se faire remarquer, même lorsque ces appareils ne sont pas en mode couplage. En pratique, cela signifie que des inconnus peuvent se connecter à des écouteurs ou des casques, puis écouter les conversations via des microphones intégrés ou lire du contenu audio sur les appareils.

En outre, il peut également être possible de localiser les appareils concernés, à condition qu’ils prennent en charge certaines fonctions supplémentaires.

À quel point WhisperPair est-il dangereux ?

Les experts en sécurité ont montré les graves conséquences d’un appareil Bluetooth non sécurisé dans une vidéo de démonstration :

Notez que cette vulnérabilité de sécurité affecte Bluetooth accessoires avec des implémentations Fast Pair défectueuses ou obsolètes. C’est le cas pas affecter eux-mêmes les smartphones Android ou iOS. Tout le monde, que ce soit sur Android ou iOS, est vulnérable de la même manière, que Fast Pair soit activement utilisé sur son propre téléphone mobile ou non.

Ce qui est particulièrement critique, c’est que la fonction vulnérable est activée par défaut sur de nombreux appareils. Selon les chercheurs en sécurité impliqués, il suffit également d’être à portée Bluetooth. Dans de nombreux cas, un couplage préalable ou une confirmation par le propriétaire n’est pas requis.

Risque de suivi particulier pour les utilisateurs d’iPhone

Un aspect particulièrement explosif – et qui affecte principalement les utilisateurs d’iPhone avec Mac ou PC Windows – est que si un casque Bluetooth vulnérable n’a jamais été associé à un appareil Android, un attaquant peut s’enregistrer comme « propriétaire » dans le cadre d’une attaque WhisperPair.

Dans ce cas, l’accessoire peut être suivi via le réseau Find Hub de Google, de la même manière que fonctionnent les AirTags. Le suivi n’est alors plus limité à la portée radio immédiate mais est rendu possible dans le monde entier, car d’autres appareils Android peuvent transmettre les données de position inaperçues.

Les utilisateurs d’Android qui ont déjà couplé leurs écouteurs via Fast Pair ne sont généralement pas concernés par ce scénario de suivi spécifique.

Une mise à jour du firmware est obligatoire

Les chercheurs en sécurité soulignent que les modifications apportées aux paramètres du smartphone sont pas suffisant pour résoudre le problème. Seule une mise à jour du micrologiciel directement sur l’appareil Bluetooth lui-même corrige la vulnérabilité de manière fiable.

Google et les fabricants concernés ont déjà été informés de ce problème dès l’été 2025. Selon les chercheurs, des versions mises à jour du firmware sont désormais disponibles pour de nombreux modèles Bluetooth (généralement installées via l’application du fabricant respectif). Une réinitialisation d’usine est également recommandée pour supprimer tout couplage non autorisé.

Si aucune mise à jour n’est disponible pour un appareil, les experts conseillent de coupler au moins une fois l’accessoire avec un smartphone Android. Cela établit un propriétaire légitime et empêche le suivi ultérieur par des tiers.

Le Bluetooth reste un risque de sécurité récurrent

L’affaire WhisperPair fait partie d’une série de problèmes de sécurité Bluetooth révélés en 2025. Google a récompensé la découverte de WhisperPair avec une prime de bug de 10 000 $. Comparé à d’autres vulnérabilités Bluetooth, le problème a été résolu relativement tôt, à condition que les utilisateurs installent les mises à jour disponibles.

Quelle que soit la vulnérabilité actuelle, les experts en sécurité conseillent depuis longtemps d’activer Bluetooth sur les smartphones uniquement lorsque cela est réellement nécessaire. Chaque connexion sans fil active augmente la surface d’attaque. Le cas actuel montre également l’importance des mises à jour régulières.