Ils peuvent vous écouter ou suivre votre position. Une nouvelle attaque exploite l’appairage rapide des écouteurs Bluetooth – MobilMania.cz

Publié le 16 janvier 2026 à 13h06. Une nouvelle faille de sécurité affecte les appareils Bluetooth, permettant potentiellement à des pirates de prendre le contrôle d’écouteurs sans fil ou de suivre leur localisation, malgré les certifications de sécurité en vigueur.

Janvier s’annonce comme un mois difficile pour la sécurité des technologies Bluetooth sur les appareils mobiles. Après la découverte récente d’une première vulnérabilité, les chercheurs ont mis en évidence une nouvelle faille, baptisée WhisperPair, qui exploite le protocole Google Fast Pair. Ce dernier est conçu pour faciliter l’appairage rapide des accessoires Bluetooth avec les smartphones Android.

Le risque principal associé à cette vulnérabilité réside dans la possibilité d’un appairage non autorisé, ouvrant la voie à un suivi de la localisation de l’appareil et à l’enregistrement audio potentiel.

Comment fonctionne l’attaque WhisperPair ?

Google Fast Pair simplifie l’appairage d’écouteurs, de haut-parleurs et d’autres accessoires. Des chercheurs de l’Université KU Leuven en Belgique ont découvert que le processus d’appairage comportait une faille. Des attaquants, utilisant des appareils Bluetooth courants tels qu’un téléphone, un ordinateur portable ou un Raspberry Pi, peuvent ainsi forcer un accessoire vulnérable à s’apparier avec leur appareil sans le consentement de l’utilisateur, et sans que l’accessoire ne soit en mode d’appairage.

La spécification Fast Pair prévoit que les appareils doivent ignorer les tentatives d’appairage lorsqu’ils ne sont pas en mode approprié. Cependant, de nombreux fabricants négligent cette vérification de sécurité. Sur les 25 appareils testés par les chercheurs, 16 se sont avérés vulnérables dès la première tentative.

Les conséquences peuvent être graves : un attaquant pourrait prendre le contrôle des écouteurs sans fil d’un utilisateur, diffuser un son fort à travers ceux-ci, ou même écouter discrètement les conversations via le microphone intégré. L’attaque est rapide, se déroulant généralement en moins de 10 secondes et à une distance maximale de 14 mètres.

Un autre scénario d’abus concerne le suivi de la localisation de l’appareil via le service de recherche de Google. Si les écouteurs ne sont pas encore appariés à un smartphone Android (par exemple, s’ils sont utilisés avec un iPhone), un attaquant peut s’enregistrer comme propriétaire en utilisant son propre compte Google. Il aura alors accès aux informations de localisation des écouteurs, transmises par les téléphones Android à proximité. Bien que le propriétaire des écouteurs reçoive une notification l’avertissant d’être suivi par un appareil inconnu, celle-ci est simultanément identifiée comme étant son propre casque, ce qui peut inciter l’utilisateur à ignorer l’alerte.

Cette faille, référencée sous le code CVE-2025-36911, révèle un problème systémique touchant de nombreuses marques d’écouteurs et de haut-parleurs, ainsi que différents fabricants de puces audio. Il est particulièrement préoccupant que tous les appareils vulnérables aient passé avec succès les certifications de Google et les tests de contrôle qualité des fabricants.

Google a été informé de l’existence de cette faille dès août dernier et l’a qualifiée de critique, récompensant l’équipe de recherche à hauteur de 15 000 $ pour sa découverte. Le risque d’exploitation ne se limite pas aux appareils Android, mais s’étend également à la plateforme iOS, car la vulnérabilité affecte les accessoires compatibles avec les deux systèmes d’exploitation.

Comment se protéger ? Contrairement à d’autres vulnérabilités similaires, la réinitialisation de l’appareil Bluetooth aux paramètres d’usine ne résout pas le problème. De plus, la fonction Fast Pair est activée par défaut sur les accessoires compatibles et ne peut pas être désactivée. La seule solution efficace consiste à mettre à jour les accessoires Bluetooth, en particulier les écouteurs et les haut-parleurs. Google a déjà alerté certains fabricants, mais compte tenu du faible taux de mise à jour des appareils par les utilisateurs, cette vulnérabilité pourrait persister pendant plusieurs années. Certaines marques préparent toutefois les mises à jour nécessaires.