Popularne bežične slušalice pod povećalom: sigurnosna rupa omogućuje preuzimanje uređaja u svega 15 sekundi

Bežične slušalice poznatih brendova poput Sonyja, Xiaomija, JBL-a i drugih našle su se u središtu ozbiljnog sigurnosnog upozorenja. Prema izvješću objavljenom 16. siječnja 2026. godine, otkrivena je visokorizična ranjivost koja omogućuje napadačima da u vrlo kratkom vremenu, gotovo neprimjetno, preuzmu kontrolu nad slušalicama korisnika.

Kako navodi tehnološki medij Android Headlines, istraživački tim sa Sveučilišta KU Leuven u Belgiji otkrio je ozbiljan propust u WhisperPair mehanizmu, koji izravno pogađa audio uređaje koji podržavaju Googleov Fast Pair protokol. Fast Pair je osmišljen kako bi korisnicima olakšao i ubrzao povezivanje Bluetooth uređaja s pametnim telefonima, no upravo je ta praktičnost postala slaba točka sigurnosti.

Prema službenim specifikacijama Fast Pair protokola, uređaji bi trebali odbijati nove zahtjeve za uparivanje dok su već povezani s nekim uređajem. Međutim, istraživači su testirali 17 različitih uređaja deset proizvođača i otkrili da ta sigurnosna logika u praksi često nije ispravno implementirana. To znači da napadač može pribaviti identifikacijski model uređaja i lažno se predstaviti kao legitimni zahtjev za povezivanje, čime prisiljava slušalice na novu vezu.

Zabrinjavajuće je i to što je prag za ovakav napad izuzetno nizak. Istraživači su pokazali da je dovoljan jeftini Raspberry Pi uređaj i boravak unutar Bluetooth dometa, koji je u testovima iznosio oko 14 metara, a potencijalno i više. U takvim uvjetima, slušalice se mogu bežično preuzeti za manje od 15 sekundi, bez ikakve autentifikacije ili upozorenja korisniku.

Posljedice ovakvog napada mogu biti vrlo ozbiljne. Nakon uspješnog povezivanja, napadač ne može samo upravljati zvukom koji se reproducira u slušalicama, već može i aktivirati njihov ugrađeni mikrofon. Time se otvara mogućnost prikrivenog prisluškivanja, bez znanja ili pristanka vlasnika uređaja.

Posebno je zabrinjavajuće to što ranjivost uključuje i mogućnost zloupotrebe sustava za praćenje lokacije. Ako korisnik koristi Bluetooth slušalice koje su povezane s iPhoneom, ali nisu povezane s Google računom, napadač može iskoristiti propust kako bi prisilno vezao uređaj uz vlastiti Google račun. Nakon toga moguće je koristiti Googleovu mrežu za lociranje uređaja, poznatu kao Find Hub, kako bi se pratilo kretanje žrtve u stvarnom vremenu.

Iako sustavi ponekad prikazuju upozorenja o nepoznatom praćenju, mnogi korisnici takve poruke pogrešno doživljavaju kao lažne alarme i jednostavno ih ignoriraju. Time se, često nesvjesno, izlažu dugotrajnom i tihom nadzoru.

Ranjivost pogađa širok raspon uređaja, uključujući proizvode Sonyja, JBL-a, Soundcorea, ali i Googleove vlastite audio uređaje. Prema navodima medija Wired, stotine milijuna bežičnih slušalica diljem svijeta potencijalno zahtijevaju sigurnosne zakrpe. Dobra vijest je da su istraživači o svemu obavijestili Google još u kolovozu prošle godine. Google je nakon toga započeo suradnju s vodećim proizvođačima hardvera kako bi se razvila ciljane nadogradnje i sigurnosni popravci. Iz Googlea su za Wired poručili da zasad ne postoje dokazi kako je ova ranjivost iskorištena u stvarnim napadima izvan laboratorijskih uvjeta.

Unatoč tome, ovo otkriće još je jedan podsjetnik koliko su sigurnost i privatnost važni u svijetu povezanih uređaja. Bežične slušalice danas su više od običnog audio dodatka, one su stalni suputnici korisnika, a upravo zato zaslužuju jednaku razinu zaštite kao i pametni telefoni koje svakodnevno koristimo.