Une vulnérabilité majeure fragilise aujourd’hui l’un des piliers de l’écosystème Bluetooth grand public. Des chercheurs de la KU Leuven ont mis au jour une faille critique dans le mécanisme Fast Pair, une technologie développée par Google pour simplifier l’appairage des écouteurs, casques et enceintes sans fil. Selon leurs travaux, cette brèche permet à un tiers malveillant de se connecter à un appareil audio à l’insu de son propriétaire, d’écouter des conversations téléphoniques et, dans certains cas, de suivre les déplacements de la victime. Le problème réside dans la conception même de Fast Pair, introduit en 2017 pour rendre l’appairage quasi instantané. En théorie, lorsqu’un utilisateur ouvre un boîtier d’écouteurs compatible, une fenêtre s’affiche sur le smartphone afin de valider explicitement la connexion. Les chercheurs belges ont cependant démontré que ce contrôle pouvait être contourné. À une distance de dix à vingt mètres, un attaquant équipé de matériel peu sophistiqué peut forcer l’appairage en quelques secondes, sans aucune action de la part de l’utilisateur ciblé.
Une faille technique aux usages potentiellement graves
Cette vulnérabilité, baptisée « WhisperPair » par les chercheurs, repose sur une mauvaise implémentation du protocole. De nombreux appareils acceptent des requêtes Fast Pair sans vérifier s’ils sont réellement en mode appairage, ce qui revient à ignorer la barrière de sécurité censée garantir la présence physique du propriétaire. Une fois connecté, le pirate peut écouter ou enregistrer des appels, injecter de l’audio, voire exploiter l’appareil comme point d’entrée pour des usages plus intrusifs. Le risque est encore accru par l’interaction entre Fast Pair et l’application de localisation Find Hub, utilisée pour retrouver des appareils égarés. Dans certains scénarios, l’attaquant peut associer les écouteurs à son propre compte, ce qui lui permet de suivre la position de l’objet en temps réel. Les chercheurs soulignent que ce mécanisme ouvre la voie à des usages de harcèlement ou de surveillance prolongée, y compris au-delà des frontières nationales, sans que la victime n’en ait conscience. L’équipe de recherche a alerté Google il y a plusieurs mois. L’entreprise a classé la faille au niveau de gravité maximal et déployé des correctifs côté logiciel. Toutefois, ces mises à jour ne suffisent pas à éliminer totalement le problème. La persistance de la vulnérabilité dépend largement du firmware intégré directement dans les écouteurs et casques, un élément que de nombreux utilisateurs ne mettent jamais à jour.
Des centaines de millions d’appareils concernés
Selon le professeur Bart Preneel, qui dirige les travaux à la KU Leuven, l’ampleur du parc exposé est considérable. Tous les appareils compatibles Fast Pair sont potentiellement vulnérables, soit des centaines de millions d’unités en circulation dans le monde. Des modèles de grandes marques, allant de Sony à JBL, en passant par OnePlus, Bose ou encore les Pixel Buds, figurent parmi les appareils identifiés comme sensibles dans les tests menés par les chercheurs. Google affirme avoir renforcé les alertes de sécurité et bloqué certaines formes de traçage abusif via son réseau de localisation. Néanmoins, les chercheurs estiment que ces garde-fous peuvent encore être contournés et insistent sur un point central : la sécurité effective repose désormais sur la diligence des fabricants et des utilisateurs à appliquer les mises à jour spécifiques aux appareils audio. Dans l’immédiat, les spécialistes recommandent de vérifier systématiquement les mises à jour de firmware via les applications officielles des constructeurs et de désactiver, lorsque cela est possible, les fonctionnalités de localisation non indispensables. Cette affaire met en lumière un paradoxe récurrent de la technologie grand public : la quête de simplicité et de fluidité d’usage s’est faite au prix d’un affaiblissement des mécanismes de sécurité, dont les conséquences peuvent aujourd’hui dépasser largement le simple inconfort technique.
