Falla negli auricolari Bluetooth: “Gli hacker possono ascoltare le chiamate e tracciare gli spostamenti”

Auricolari Bluetooth, scoperta una falla che apre la porta a intercettazioni e tracciamentonasconde una falla chiamata WhisperPair. Lo rivela un report condotto dall’Università KU Leuven, in Belgio, secondo i ricercatori la falla permette di accedere ai microfoni e, soprattutto, di tracciare la posizione dei dispositivi. Semplici accessori audio diventano così potenziali strumenti di sorveglianza. 

"Questa vulnerabilità interessano diversi fornitori e chipset, compresi i dispositivi che hanno superato il controllo qualità del produttore e la certificazione Google , evidenziando un problema di sicurezza sistemico", hanno spiegato i ricercatori. La buona notizia? Nonostante lo spettro di intercettazioni e tracciamenti indesiderati, gli esperti concordano sul fatto che il rischio reale per gli utenti sia limitato. La cattiva? Il caso dimostra quanto anche le funzioni più banali dei gadget digitali nascondano un lato vulnerabile.

In cosa consiste l’attacco “WhisperPair”

Secondo lo studio, la vulnerabilità non riguarda il protocollo Bluetooth in sé, ma un’errata implementazione dello standard Fast Pair da parte di numerosi produttori. Fast Pair dovrebbe consentire nuove connessioni solo quando il dispositivo è esplicitamente in modalità di abbinamento (pairing mode), molti accessori non applicano questa verifica. La falla scoperta consente a un attaccante entro circa 10 – 14 metri di abbattere il collegamento esistente e assumere il controllo dell’accessorio Bluetooth. Non solo, è in grado anche di trasmettere audio o ascoltare tramite il microfono integrato e tracciare la posizione della vittima tramite la rete di localizzazione Google Find Hub.

Quali sono i dispositivi coinvolti

I modelli vulnerabili includono una lista di prodotti, tra questi:

• Sony WH-1000XM6
• Pixel Buds Pro 2
• Soundcore Liberty 4 NC
• Jabra Elite 8 Active
• Nothing Ear a
• OnePlus Nord Buds 3 Pro

In alcuni casi, la vulnerabilità è stata riscontrata anche su dispositivi certificati da Google, un dettaglio che ha sollevato più di un interrogativo sul sistema di convalida. Come riportato da Wired, Google avrebbe avvisato i produttori già lo scorso settembre, chiedendo di rilasciare aggiornamenti il prima possibile. La maggior parte delle aziende ha già distribuito patch correttive, mentre altre sono in fase di rilascio.

Ascolto e localizzazione: i rischi della falla

Gli esperti nvitano alla prudenza: le cuffie non nascono per spiarti, ma per captare in modo selettivo la voce di chi le indossa, filtrando quasi tutto il resto. Nei test condotti dagli stessi ricercatori i microfoni hanno dimostrato limiti evidenti. Una volta allontanati dall’orecchio, finiscono per raccogliere suoni confusi, frammenti di parole e rumori indistinti. Su una scrivania, infilati in tasca o appoggiati a una borsa, non riescono quasi mai a registrare una frase comprensibile, tantomeno l’intera conversazione di persone sedute accanto. Come ha puntualizzato Sayon Duttagupta, uno degli autori dello studio, l’indagine ha confermato la possibilità tecnica di accedere al microfono, non la sua reale efficacia in scenari quotidiani.

Se l’ascolto clandestino è un rischio marginale, la questione cambia quando si parla di localizzazione. È qui che WhisperPair mostra il suo lato più inquietante. Il problema nasce quando un accessorio Bluetooth non è mai stato collegato a un account Google. In quel caso, un aggressore nelle vicinanze può associarlo al proprio account e inserirlo così nella rete di tracciamento di Google, la stessa che permette di ritrovare smartphone, tablet o smartwatch smarriti. Da quel momento, l’auricolare o la cuffia diventano un marcatore geografico: un piccolo oggetto che segue la vittima ovunque vada, aggiornando la posizione ogni volta che incrocia un dispositivo Android vicino.

Cosa fare per difendersi

La vulnerabilità risiede nel firmware degli accessori, non esiste alcuna impostazione nel telefono che possa disattivarla. Esistono però contromisure per ridurre i rischi legati alla falla. Per prima cosa aggiornare il firmware degli auricolari o delle cuffie tramite l’app del produttore. È altrettanto importante verificare che anche lo smartphone sia aggiornato, soprattutto per quanto riguarda Android e le app che gestiscono Fast Pair. Un’azione spesso sottovalutata, ma fondamentale, è associare l’accessorio al proprio account Google utilizzando Fast Pair: questo semplice passaggio impedisce a un potenziale hacker di registrare il dispositivo su un altro account e sfruttarlo per il tracciamento.

Il caso punto i riflettori su un dilemma chiave della tecnologia consumer: spesso le funzioni come l’accoppiamento semplificato nascondono complessità critiche nello strato di sicurezza. WhisperPair dimostra che anche funzionalità pensate per semplificare l’uso dei dispositivi possono nascondere rischi concreti. Aggiornare firmware e app, e associare gli accessori al proprio account, resta l’unico modo per proteggere la privacy in un ecosistema sempre più connesso.