La découverte de WhisperPair , une vulnérabilité affectant les casques Bluetooth de plusieurs marques, menace un grand nombre d'utilisateurs et nous rappelle un aspect souvent négligé : la sécurité des accessoires que nous utilisons au quotidien. Des chercheurs de l'Université de Louvain , en Belgique, ont en effet analysé le mécanisme d'appairage et ont détecté une faille qui permet à un inconnu de prendre le contrôle de l'accessoire en quelques secondes . Cette vulnérabilité affecte les produits utilisant Google Fast Pair , le système qui facilite l'appairage via Bluetooth Low Energy . Ce mécanisme reconnaît automatiquement les accessoires compatibles et les associe au compte Google de l'utilisateur . Le problème survient lorsque le casque ne vérifie pas si la demande de synchronisation arrive en mode appairage . De nombreux modèles n'effectuent pas cette vérification ou l'effectuent de manière incomplète, ce qui permet l'utilisation d'appareils non autorisés. Dans ce cas de figure, un pirate peut connecter les écouteurs à son appareil, tel qu'un ordinateur portable, sans aucune confirmation du propriétaire des écouteurs. L'accessoire répond à la demande et établit la connexion, tandis que le propriétaire légitime perd le contrôle sans s'en rendre compte. Une fois l'accès obtenu, l'attaquant peut diffuser du son , régler le volume ou activer le microphone sur les modèles compatibles. La seule restriction est de rester à moins de 14 mètres de la victime.
La faille ne se limite pas au contrôle du casque. Certains modèles intégrant Google Find Hub deviennent un outil potentiel de géolocalisation . Si un accessoire n'est pas encore connecté à un appareil Android, un pirate peut l'associer à son compte et exploiter les données des appareils à proximité pour suivre ses déplacements . Les notifications de suivi indésirables n'offrent pas de protection immédiate. Le système signale la présence d'un appareil étranger, mais attribue l'alerte à l'appareil de la victime, ce qui peut facilement prêter à confusion (même si nous nous trouvons dans des cas extrêmes). Selon les chercheurs, la présence de cette vulnérabilité dans des produits certifiés suggère un défaut systémique dans le processus d'examen Google Fast Pair , qui n'a pas permis d'identifier cette faiblesse ni lors de la mise en œuvre ni lors de la validation. Le problème est connu depuis août 2025 , date à laquelle Google l'a classé sous la référence CVE-2025-36911 , mais des questions subsistent quant à l'efficacité des mises à jour publiées.
Plusieurs fabricants ont publié une mise à jour logicielle , mais tous les appareils vulnérables ne sont pas encore concernés. Parmi les marques touchées figurent Sony , Jabra , JBL , Marshall , Xiaomi , Nothing , OnePlus , Soundcore , Logitech et Google . Cependant, cette technique présente des limites : elle nécessite une proximité immédiate et doit être exécutée rapidement. Les accessoires les plus récents intègrent des boutons physiques pour activer le mode appairage , souvent accessibles uniquement lorsque les écouteurs sont dans leur étui, ce qui rend difficile toute intervention discrète. De nombreuses applications dédiées affichent également les appareils actuellement connectés à l'accessoire, une vérification utile pour repérer les comportements suspects. Les produits de la même marque peuvent s'appairer presque instantanément même sans Fast Pair, mais la connexion peut ne pas aboutir lorsque les écouteurs sont dans leur étui fermé . Toutefois, si le jumelage illicite a eu lieu précédemment, il est toujours possible de localiser l'accessoire via Find Hub , à condition qu'il soit allumé et compatible. Les utilisateurs Apple qui utilisent des accessoires compatibles avec Fast Pair sans les connecter à un compte Google courent un risque accru. Ceux qui ont déjà synchronisé leurs écouteurs, mis à jour l'application et installé le dernier firmware ne courent aucun risque supplémentaire. (
Lire la suite)