Miljoenen bluetoothapparaten met Google Fast Pair zijn vatbaar voor hack

Securityonderzoekers van de KU Leuven hebben een kwetsbaarheid in apparaten met Google Fast Pair ontdekt. Daarmee kunnen hackers draadloze koptelefoons en oordopjes overnemen. Ze kunnen zo stiekem meeluisteren met slachtoffers of hen volgen via het Google Find Hub-netwerk.

De onderzoekers noemen de kwetsbaarheid WhisperPair. Het gaat om een kwetsbaarheid in Google Fast Pair, een techniek om gemakkelijk oordopjes en koptelefoons te koppelen aan een Android-telefoon of Chromebook. De kwetsbaarheid zit echter in de bluetoothproducten zelf, waardoor gebruikers ook kwetsbaar kunnen zijn als ze geen Google-producten gebruiken.

Volgens de onderzoekers zijn verschillende audioproducten kwetsbaar, van fabrikanten als Sony, OnePlus, Jabra, JBL, Marshall, Logitech, Nothing, Soundcore en Google zelf. Vele miljoenen van die apparaten zouden in omloop zijn, schrijft onder andere Wired. De onderzoekers hebben een database met kwetsbare producten gepubliceerd.

De kwetsbaarheid wordt veroorzaakt door een 'incomplete' toepassing van Google Fast Pair. Apparaten horen alleen verbindingsverzoeken te accepteren wanneer ze in de koppelingsmodus staan. Op veel apparaten wordt die controle niet goed uitgevoerd, waardoor hackers alsnog verbinding met de oordopjes of koptelefoons van slachtoffers kunnen maken.

Getroffen oordopjes kunnen bijvoorbeeld gebruikt worden om het slachtoffer te volgen. Bron: KU Leuven

Als ze eenmaal verbinding hebben gemaakt met het apparaat, kunnen ze relatief onschuldige acties uitvoeren. Denk aan het stopzetten van muziek of het afspelen van eigen audio. Het is echter ook mogelijk om mee te luisteren met de microfoon van het slachtoffer om zo gesprekken af te luisteren. Via het Google Find Hub-netwerk kunnen de hackers ook de fysieke locatie van het slachtoffer volgen.

De onderzoekers demonstreren de kwetsbaarheid in een video, hoewel de exacte methode niet wordt gedeeld. Het team zegt dat de kwetsbaarheid relatief simpel is uit te buiten: het duurt gemiddeld zo'n tien seconden. Hackers moeten daarvoor wel in de buurt van het slachtoffer zijn, want de kwetsbaarheid kan worden uitgebuit op een afstand van maximaal veertien meter.

Google is in augustus op de hoogte gesteld van de kwetsbaarheid. Het bedrijf heeft zijn partners gewaarschuwd, hoewel iedere audiofabrikant een patch moet uitbrengen voor zijn eigen producten. Veel fabrikanten hebben dat al gedaan, maar niet alle kwetsbare apparaten zijn al geüpdatet.

Gebruikers wordt dan ook aangeraden om hun koptelefoons of oordopjes te updaten; vaak gaat dat via de app van de fabrikant. Google heeft inmiddels een patch uitgebracht voor zijn eigen Pixel Buds Pro 2. Vooralsnog lijkt het er niet op dat hackers de kwetsbaarheid in de praktijk al misbruiken.

Google Fast Pair

Reacties (29)

[Wazzim]

Dit is al een tijdje bekend toch? Wellicht nooit zo uitvoerig getest. Heb weleens (onbewust, per ongeluk) verbinding gemaakt met apparaten van mensen terwijl ik in de trein zit of op het perron sta.

[0x0]

Ja en nee.
Dit heeft te maken met Fast Pair.

Je hebt gelijk dat je ongemerkt met allerhande apparaten kan verbinden.
Uitermate irritant en kortzichtig van ontwikkelaars.

Ik houd niet meer bij op welke Bluetooth versie we nu zitten.
Ik zie nog maar pas BT6 apparaten verschijnen en nu is er al 6.1, als ik mij niet vergis.

Een van de nieuwere "features" in BT6/LE, geeft BT nu de mogelijk om je positie te bepalen tot <10cm nauwkeurig.
Denk daarbij aan vliegvelden, stations, elke openbare ruimte, maar ook waar je woont ten opzichte van je buren enzovoorts.

Natuurlijk wordt dit in de markt gezet als iets superhandigs voor jou, de gebruiker.

Ik zie dit soort "bugs" als opzettelijke "foutjes".
Het kan zijn dat het oprecht een foutje is, maar de korte ontwikkeltijden spelen hierbij ook een rol.
We zoeken het later wel uit met updates... waarmee we ook weer meer informatie uit de gebruiker kunnen zuigen omdat ze een app moeten installeren.

zucht

Edit:
Ik had ietwat onhandig Auracast gebruikt als voorbeeld, wat gebruikt kan worden voor aankondigingen en multipoint broadcast op, bijvoorbeeld, vliegvelden/stations, om aan te geven dat het ook misbruikt zou kunnen worden om je bewegingen te volgen.

NIeuwe features zijn niet altijd slecht en bieden ook vaak voordelen. In BT6.2 wordt bijvoorbeeld veel meer aandacht geschonken aan de beveiliging van de verbinding en daar speelt locatiebepaling een heel sterke rol in.

[Reactie gewijzigd door 0x0 op 18 januari 2026 19:32]

[Jerie]

Bluetooth versie zegt nagenoeg niets over hoe recent de firmware is. Het zegt vooral iets over de features (Bluetooth protocollen) die worden ondersteunt. Dat is vooral van belang voor een Bluetooth client. Een stukje hardware dat Bluetooth ondersteunt, ondersteunt in de praktijk vaak slects enkele protocollen omdat die hardware die specifieke features gebruikt. Vergelijk het met je keukenlade. Allerlei bestek, maar voor een salade eten kom je weg met enkel een vork.

Wikipedia legt het hier uit: Wikipedia: List of Bluetooth protocols

The Bluetooth protocol stack is split in two parts: a "controller stack" containing the timing critical radio interface, and a "host stack" dealing with high level data. The controller stack is generally implemented in a low cost silicon device containing the Bluetooth radio and a microprocessor. The host stack is generally implemented as part of an operating system, or as an installable package on top of an operating system. For integrated devices such as Bluetooth headsets, the host stack and controller stack can be run on the same microprocessor to reduce mass production costs; this is known as a hostless system.

Dan heb je nog het onderscheid tussen Bluetooth Classic en Bluetooth Low Energy (BLE). Daar kunnen we kort over zijn: GFPS maakt gebruik van BLE.

WhisperPair kwetsbaarheid (Google Fast Pair) zit in de host stack. Om die te verhelpen heb je een firmware update nodig op alle firmware die Google Fast Pair ondersteunt.

Op OSen zoals Android geldt hetzelfde, maar dat is minder complex om te patchen (behalve dus Android TV). En een computer zoals een laptop of PC is niet vaak verbonden met Android, maar zal ook een patch moeten krijgen indien die ondersteuning heeft voor Google Fast Pair.

Dit nieuws stond ook vrijdagmiddag 15 Jan al op Ars.

In het lijstje van T.net zie ik ook niet Sony staan (edit: ah, toch wel, stond op een vorige regel, my bad), terwijl de XM1000 series zeer populair zijn. Wat ik bijvoorbeeld ook nog niet heb bekeken is welke STBs er zoal lek zijn. Die krijgen vaak belachelijk laat updates. Ik zet Bluetooth op die van mij voorlopig maar uit.

edit:
Toch niet, kan de optie niet vinden...

[Reactie gewijzigd door Jerie op 17 januari 2026 13:37]

[0x0]

Bluetooth versie zegt nagenoeg niets over hoe recent de firmware is.

Dat beweerde ik ook niet.

GFPS maakt gebruik van BLE.

Net als AuraCast en nog wat van die "handige" features.
Er wordt al langer geroepen dat je LE beter uit kan zetten als je die mogelijkheid hebt.

Maar ja, vandaag of morgen komt er wel weer iets nieuws waardoor je het niet meer uit kan zetten.

Mooie reactie wel :)

[Jerie]

Oeps, nee dat beweerde je niet, maar de lezer kan dat wel denken, en dat is ook wel anders bij andere protocollen. Dus wel het vermelden waard.

Misschien vind je deze kwetsbaarheid ook interessant: Bluetooth Headphone Jacking: A Key to Your Phone. Zij onderzochten Bluetooth Auracast, en kwamen uiteindelijk uit bij RACE. Film van de presentatie.. Het is vooral problematisch omdat men (de fabrikanten) hun hardware niet patchen. Dat zal met deze kwetsbaarheid niet anders zijn.

[Reactie gewijzigd door Jerie op 17 januari 2026 14:45]

[vDorst]

Ik heb van de week deze presentatie ook gezien. Jammer dat aan deze bugs geen aandacht is gegeven. Heb ik link als tip aangedragen en was al eerder ingediend.

Heb er iig al twee collega's bewust gemaakt van deze bugs.

[Reactie gewijzigd door vDorst op 17 januari 2026 17:10]

[Annihlator]

Even ter aanvulling:

Auracast is een stel aanvullingen hoofdzakelijk bedoeld om met één bronapparaat multimediastreams, gesynchroniseerd, aan te bieden aan meerdere clients; hierom is het nodig om de relatieve en onderlinge afstand vast te stellen, om die latency onderling zo gelijk mogelijk te houden.
(Zelf bezig met een auracast-capabel project dat een stream ontvangt en mag verdelen over meerdere clients via twee zenders, om zo een niet-aura-capable zender naar meerdere apparaten te laten streamen)

Dit kan echter niet zomaar/passief (de ontvanger moet "meedoen" aan de auracast stream). natuurlijk in-tandem met random/semi-willekeurig accepteren van pairing kan dat problemen opleveren, maar dat ligt dus niet aan auracast maar botweg "te gemakkelijke" manieren van pairing.

De bottom line blijft: een aanvaller kan net-zo-makkelijk pairen als de gebruiker wanneer het zoiets "makkelijks" betreft.

[Reactie gewijzigd door Annihlator op 17 januari 2026 13:54]

[Dreamvoid]

Auracast is geen positiebepaling, het is voor broadcasting (vergelijkbaar met fm radio): je kan bluetooth geluid uitzenden wat clients kunnen beluisteren zonder 1-op-1 pairing, zeg maar zoals een “silent disco”, of naar meerdere speakers.

[Reactie gewijzigd door Dreamvoid op 18 januari 2026 02:01]

[CAPSLOCK2000]

Dit is al een tijdje bekend toch? Wellicht nooit zo uitvoerig getest. Heb weleens (onbewust, per ongeluk) verbinding gemaakt met apparaten van mensen terwijl ik in de trein zit of op het perron sta.

Het hoeft niet eens een bug te zijn. Zelfs als het technisch wel goed werkt blijft het systeem fragiel.
Mijn buren zijn niet zo technisch en als er een probleem is proberen ze met alles te verbinden dat ze kunnen zien. Ik weet ook niet wat ze dan precies denken maar dan regent het hier authenticatieverzoekjes. Op mijn PC kan ik devices blokkeren maar sommige andere apparaten blijven maar aangeven dat ze willen pairen, of dat een poging tot koppeling mislukt is.

Ik sta technisch sterk in mijn schoenen en zal niet zomaar een onbekend verzoek accepteren maar ik denk dat menigeen het "voor de zekerheid" toch maar zal accepteren. En als er maar genoeg van die verzoeken komen bestaat de kans dat ik vroeg of laat op de verkeerde knop druk per ongeluk zo'n verbinding accepteer.
(Ik vermoed dat als je op een druk terras gaat zitten en gewoon random verbindingen probeert op te zetten naar alle devices die langskomen dat je binnen de kortste keren contact krijgt omdat iemand het gewoon toestaat).

[0x0]

Het is gedeeltelijk korzichtigheid van ontwikkelaars, gedeeltelijk de wens van bedrijven om aan datagrabbing te doen en wat jij zegt, domme buren.

Niet alleen dat anderen met jouw apparaten willen verbinden, ook jouw apparaten die continue in search-mode staan (TVs zijn daar heel erg goed in, en ik heb nog nooit een "bluetooth uit" instelling gezien).

Ik heb al diverse hoofdtelefoons moeten resetten omdat ze ongevraagd met de buren waren gepaired, maar ook wanneer ik een BT zender wil pairen en de buren mij dus net voor zijn. Probeer dan maar eens om zo'n ding te resetten.

[Sissors]

Ik vraag me af wat een bedrijf aan "datagrabbing" zou doen via Bluetooth. Maar wat het ook gedeeltelijk zal zijn is potentieel gemak. Je hoeft hem niet in pair modus te zetten als je er altijd mee kan pairen.

[0x0]

Gemak is iets wat een voordeel oplevert, niet iets wat je continue frustreert en waar je tijd en energie in moet steken om het weer op te lossen.
Pair modus is er om een reden... zodat jij kan pairen met een device wat jij wil gebruiken en zodat je niet (al dan niet per ongeluk) met een foutief apparaat verbindt.

Ik vraag me af wat een bedrijf aan "datagrabbing" zou doen via Bluetooth

Waar je woont, wie je buren zijn, waar je loopt/rijdt/winkelt, welke apparaten je gebruikt (merk en model), variërend van je auto tot je televisie en alles wat daar tussenin zit.

Dat kan dus bijvoorbeeld een locatie provider zijn (de zogenaamde Precise Location of nog "erger" de Nearby Devices instelling die je eigenlijk helemaal niet nodig hebt maar verplicht moet gebruiken), maar ook een supermarkt, een televisie- of autofabrikant.. iedere bedrijf was een apparaat maakt waar bluetooth inzit en een phone-home functie heeft.

Dat hoeft dus niet het bluetooth apparaat zelf te zijn.

Die informatie kan dan ondere andere gebruikt worden om heel precies te bepalen waar jij je bevindt (en in welke richting je beweegt) en om je bepaalde producten aan te prijzen... en ja, binnenkort zou je dus langs een reclamezuil kunnen lopen en dan iets zien wat speciaal voor jou bedoeld is, misschien zelfs met die leuke profielfoto die je op je socials gebruikt.

Google kan het gebruiken om een advertentieprofiel op te bouwen.

Je supermarkt volgt je door de hele winkel om te zien welk pad je volgt, hoelang je bij een bepaalde productgroep blijft staan, enzovoorsts. Ook daar zou het mij niet verbazen als je ineens gerichte aanbiedingen te zien krijgt of zelfs naar je mobiel gepusht krijgt.

De toepassingen passen niet op een enkel A4tje.

[Daoka]

Ik denk dat een betere naamgeving al een paar foute verbindingen zou kunnen tegengaan. Laat ze beginnen met de soort aparaat. Phone-xxxxxxxx, ears-xxxxxxx remote-xxxxxx, TV-xxxxxxx, ect. Natuurlijk blijven er mensen die overal op tikken maar hopelijk zouden sommige mensen dan zien "dit is een telefoon dus dat is ieder geval niet mijn tv".

[The Zep Man]

Hackers moeten daarvoor wel in de buurt van het slachtoffer zijn, want de kwetsbaarheid kan worden uitgebuit op een afstand van maximaal veertien meter.

Of de hack wordt op afstand uitgevoerd via een gecompromitteerd IoT-apparaat met een radio die Bluetooth kan spreken. Dat zijn heel wat IoT-apparaten.

[Floris4970]

Ja... of een smart hub van AliExpress kan ingezet worden om op grote schaal mensen af te luisteren... ik denk een goudmijn voor menig inlichtingen dienst.

[-Elmer-]

Met het oog op veiligheid ben ik er ook niet bepaald blij mee dat de audiojack uit praktisch elke high- en midrange telefoon is verdwenen. Iedere draadloze technologie is er wéér een waar je rekening mee moet houden met de veiligheid. Er zijn altijd natuurlijk wel oplossingen: buitenshuis wifi uit, nfc uit, een usb-c dac voor mijn koptelefoon etc. Het vervelende is dat het aanvalsoppervlak alleen maar groter wordt en digitale dreigingen toenemen. Het concept "security by design" lijkt nog niet echt te zijn geland.

[GertMenkel]

Bij iedere telefoon zonder 3,5mm-poortje heb ik een adapter ontvangen die 3,5mm uit de USB-C-poort laat komen. Vaak nog van betere kwaliteit dan de ingebouwde poort die ging piepen en kraken als de CPU druk bezig was. Verder kun je gewoon telefoons met zo'n poort kopen, ze zij alleen niet zo populair als vroeger. Het is jammer dat de opties zijn afgenomen maar als je echt per se bekabelde oortjes wilt, dan heb je die optie altijd gehouden.

Het is wel teleurstellend hoe groot de namen zijn die hun software zo incompetent geschreven hebben. Je kunt een protocol nog zo veilig maken, als je implementatie ervoor kiest om zonder blikken of blozen je apparaat laat overnemen nadat die al verbonden is, kun je weinig doen als protocolschrijver.

[Torpedohoofd]

Ik gebruik liever geen USB-C adapters omdat het de USB-C poort alleen maar sneller doet falen. 3.5mm poorten daarentegen zijn in mijn ervaring een stuk robuuster en mochten deze uiteindelijk falen dan ben je nog niet zo ver heen als wanneer een USB-C poort het begeeft, zeker bij toestellen die geen draadloos laden ondersteunen.

[GertMenkel]

Ik ontken niet dat de simpele 3,5mm-interface bij veel apparaten robuuster aanvoelde bij een nieuw product (dat verschilde vroeger ook nog wel eens per telefoon, helemaal ja een paar jaar was het maar de vraag of je er nog stereo audio en een microfoon uit kreeg), maar tenzij je een defecte of foutief ontworpen telefoon hebt, zou die poort minstens 10.000 keer los+vast moeten tolereren. Dat is 10 jaar lang twee of drie keer per dag, of vijf jaar lang zo'n 5-6 keer per dag.

Voor 3,5mm kan ik geen echte ratings vinden (is natuurlijk ook geen welgespecificeerde officiële standaard zoals USB-C dat is) maar 5000 insertions lijkt toch het doel te zijn van de 3,5mm-poortjes die wel een rating opgeven.

Als je een competent in elkaar gezet toestel koopt en deze draadloos laadt, gaat de USB-C-poort, in elk geval voor zover ik de specificaties kan zien, dus twee keer zo lang mee.

Het grootste probleem met die pluggen is dat veel van die adapters als hefboom kracht zetten op het poortje zelf als je ze in je zak stopt en er buiging ontstaat (wat op 3,5mm ook vaak de reden was dat mijn poortjes de geest begonnen te geven), maar als je zo'n adapter neemt die vlak bij de telefoon een 90 graden hoek maakt, is dat risico al een stuk kleiner.

[Aapmansz]

Vermoed dat alleen apparaten met multipoint device mogelijkheid kwetsbaar kunnen zijn.
Headset kan dan met meerdere apparaten tegelijkertijd verbinden.

[xenn99]

Hoe kan iemand weten of zijn koptelefoon deze functie gebruikt? Zie je dat specifiek als je een apparaat koppelt dat hij fast pair gebruikt?
Zelf heb ik gewoon van die Fresh & Rebel koptelefoons met noise cancelling van de Action en denk persoonlijk niet dat die zulke luxe functies hebben maar je weet het nooit.
Die website heb je helaas weinig aan want daar staat het hele merk niet eens op.

[GertMenkel]

Meestal staat het op de doos. Als je hem voor de eerste keer aanzet en je telefoon automatisch aanbiedt om te pairen (en je hebt geen iPhone) dan implementeert het spul dat. Redelijke kans dat ze het niet doen als je hier over de feature leest.

Eerlijk gezegd verwacht ik van de aliexpress-stijl hardware van de Action dat het weinig uitmaakt of ze deze kwetsbaarheid bevatten of niet, die ultragoedkope chips zijn meestal uit te buiten met bekende, veel oudere exploits. Als die dingen een app hebben om de firmware mee te updaten dan zou je kunnen checken of er nieuwe firmware is, zo niet zou ik ervan uitgaan dat je oortjes hackbaar zijn voor van alles en nogwat.

[xenn99]

Goed om te weten.
Dan beschouw ik die als onbeveiligd.
Stiekem is Fresh 'n Rebel eigenlijk Sitecom dus geen idee of dat echt onder ali express achtig valt.
Misschien net een niveau daarboven, maar niet heel veel?
Ze zijn niet op afstand aan te zetten toch?
Dan is het nog te overzien ik gebruik ze enkel bij het wandelen.

[Reactie gewijzigd door xenn99 op 18 januari 2026 02:15]

[AntonMadness]

Waarom noemen ze get green WhisPair.... Gemiste kans.

[Alxndr]

Dus moet ik alsnog een app gaan installeren? En dus allerlei permissies en data weg gaan geven... Lekker zeg.

Ik loop accepteer het risico wel gewoon, de Spanjaarden hier verstaan toch geen Engels of Nederlands en als ze me 's nacht willen horen snurken, prima ;)

[Bor]

Bij de database met kwetsbare apparaten komt het gros terug als "unknown". Bij bv soundcore staan en plm 30 apparaten genoemd maar maar 1 staat als vulnerable. Bij OnePlus idem. Er is nog veel te doen / testen blijkbaar.

[mutley69]

Mijn enige blauwtand-toestel is ondertussen gepatcht. We moeten vooral die researchers heel dankbaar zijn dat ze dit gevonden hebben en dat ze het op een verantwoorde manier laten oplossen.

[Miglow]

Mijn Sony WH-CH720N doet dit ook en heeft een fix ontvangen. Nu kan ik heel vaak niet bellen (waar ik hem toch het meeste voor gebruik), hopelijk komt daar dan ook weer een fix voor.

[Cyb]

Google awarded us the maximum possible bounty of $15,000 for this issue.

Best wel weinig als je het mij vraagt. Denk dat veel overheden er wel interesse in zouden hebben.