PCWorld报道称，一种名为WhisperPair的关键蓝牙漏洞允许攻击者劫持配件，并通过谷歌的Find Hub网络在全球范围内对其进行追踪。
该漏洞影响那些采用了过时或存在缺陷的快速配对实现的蓝牙设备，使攻击者能够窃听对话或播放未经授权的音频内容。
用户应立即更新其蓝牙设备的固件，或执行恢复出厂设置以移除未经授权的配对，从而防范漏洞利用。
计算机安全与工业密码学研究小组COSIC的安全专家警告称，一个严重的蓝牙安全漏洞可能影响全球数百万的耳机、扬声器和其他无线配件。如果您拥有任何蓝牙设备，应尽快检查是否有可用的固件更新，如果有，请立即安装。
该漏洞存在于谷歌的快速配对服务中，该服务旨在实现蓝牙配件的快速发现与配对。该漏洞早在2025年8月就被发现，但一个名为WhisperPair的有效利用方法现已被公开记录。
攻击者可以利用GFPS在未被察觉的情况下控制其附近的蓝牙设备，即使这些设备未处于配对模式。实际上，这意味着陌生人可以连接到耳机或头戴式设备，然后通过集成麦克风窃听对话，或在设备上播放音频内容。
此外，如果受影响的设备支持某些附加功能，攻击者也可能对其进行定位。
安全专家在一段演示视频中展示了未受保护的蓝牙设备可能带来的严重后果：
需要注意的是，此安全漏洞影响的是那些采用了有缺陷或过时的快速配对实现的蓝牙配件。它并不影响安卓或iOS智能手机本身。无论用户使用的是安卓还是iOS，无论他们自己的手机上是否主动使用快速配对，都同样易受攻击。
尤为关键的是，在许多设备上，这个易受攻击的功能是默认启用的。根据相关安全研究人员的说法，只要处于蓝牙信号范围内就足够了。在许多情况下，并不需要事先配对或得到所有者的确认。
一个特别具有爆炸性的方面，主要影响使用iPhone搭配Mac或Windows PC的用户，即：如果一个易受攻击的蓝牙耳机从未与安卓设备配对过，攻击者可以在WhisperPair攻击中将自己注册为“所有者”。
在这种情况下，该配件可以通过谷歌的Find Hub网络被追踪，类似于AirTag的工作原理。这样一来，追踪就不再局限于直接的无线电信号范围，而是可以在全球范围内实现，因为其他安卓设备可以在不被察觉的情况下转发位置数据。
已经通过快速配对配对其耳机的安卓用户通常不受此特定追踪场景的影响。
安全研究人员强调，仅更改智能手机设置不足以解决问题。只有在蓝牙设备本身直接进行固件更新，才能可靠地修复该漏洞。
谷歌和相关制造商早在2025年夏季就已获知此问题。据研究人员称，现在许多蓝牙型号已有更新的固件版本（通常通过各自制造商的应用程序安装）。同时建议进行恢复出厂设置，以移除任何未经授权的配对。
如果某个设备没有可用的更新，专家建议至少将该配件与安卓智能手机配对一次。这将建立一个合法的所有者，防止后续的第三方追踪。
WhisperPair事件是2025年曝光的一系列蓝牙安全问题之一。谷歌为此漏洞的发现支付了1万美元的漏洞赏金。与其他蓝牙漏洞相比，这个问题得到了相对较早的解决——前提是用户安装了可用的更新。
撇开当前的漏洞不谈，安全专家长期以来一直建议，仅在确实需要时才在智能手机上启用蓝牙。每一个活跃的无线连接都会增加受攻击面。当前案例也再次表明了定期更新的重要性。
