概要：Fast Pairプロトコルの致命的な欠陥
セキュリティ研究者らは、GoogleのFast Pairプロトコルに存在する重大な脆弱性「CVE-2025-36911」（通称「WhisperPair」）を発見しました。この欠陥を悪用することで、攻撃者はBluetoothオーディオアクセサリーを乗っ取り、ユーザーを追跡し、会話を盗聴することが可能になります。
この脆弱性は、Google、Jabra、JBL、Logitech、Marshall、Nothing、OnePlus、Sony、Soundcore、Xiaomiなど、複数のメーカーの数億台のワイヤレスヘッドホン、イヤホン、スピーカーに影響を与えます。さらに、この欠陥はアクセサリー自体にあるため、スマートフォンのオペレーティングシステム（OS）には依存せず、iPhoneユーザーも危険にさらされます。
脆弱性の詳細：不適切なFast Pair実装が原因
KU Leuven大学のコンピューターセキュリティ・産業暗号学グループの研究者が発見したこの脆弱性は、多くの主要なオーディオアクセサリーにおけるFast Pairプロトコルの不適切な実装に起因します。Fast Pairの仕様では、ペアリングモードでないBluetoothデバイスはペアリング要求を無視すべきであると明記されています。
しかし、研究者らによると、多くのベンダーがこのチェックを製品に適用しておらず、ユーザーの同意や知識なしに不正なデバイスがペアリングを開始できる状態になっています。「脆弱なデバイスから返信を受け取った後、攻撃者は通常のBluetoothペアリングを確立することでFast Pairの手順を完了できます」と研究者は述べています。
攻撃のメカニズムと影響
攻撃者は、Bluetooth対応デバイス（ラップトップ、Raspberry Pi、スマートフォンなど）を使用して、最長14メートル以内の範囲で、数秒以内にユーザーの操作や物理的なアクセスなしに、脆弱なアクセサリーと強制的にペアリングできます。ペアリングが完了すると、攻撃者はオーディオデバイスを完全に制御できるようになります。
これにより、攻撃者は以下の行為が可能になります：
- 大音量でオーディオを再生する
- デバイスのマイクを通してユーザーの会話を盗聴する
- アクセサリーがAndroidデバイスと一度もペアリングされていない場合、GoogleのFind Hubネットワークを使用して被害者の位置を追跡する（攻撃者のGoogleアカウントにデバイスを追加することで）。
研究者らは、「被害者は数時間または数日後に意図しない追跡通知を目にするかもしれませんが、この通知には自分のデバイスが表示されます。これにより、ユーザーは警告をバグとして無視し、攻撃者が長期間にわたって被害者を追跡し続けることを可能にするかもしれません」と警告しています。
対策と現状
Googleは研究者らに最高額である15,000ドルの報奨金を支払い、150日間の情報開示期間中にメーカーと協力してセキュリティパッチをリリースしました。しかし、この脆弱性に対応するセキュリティアップデートが、すべての脆弱なデバイスで利用可能になっているわけではないと彼らは指摘しています。
この「WhisperPair」の悪用に対する唯一の防御策は、デバイスメーカーから提供されるファームウェアアップデートをインストールすることです。AndroidスマートフォンでFast Pairを無効にしても、アクセサリー自体でこの機能を無効にすることはできないため、攻撃を防ぐことはできません。