2026年1月、セキュリティ研究者らによって、Googleの「Fast Pair」プロトコルを採用したBluetoothアクセサリ（イヤホン、ヘッドホン、スピーカーなど）に深刻な脆弱性が発見されました。「WhisperPair」と名付けられたこの脆弱性は、数億台規模のデバイスに影響を及ぼし、攻撃者がユーザーの同意なしにデバイスを乗っ取り、盗聴や位置情報の追跡を行うことを可能にします。 本記事では、この脆弱性の仕組み、影響範囲、そしてユーザーが取るべき対策について詳述します。
目次
WhisperPairとは何か
WhisperPairは、Google Fast Pairプロトコルの実装における不備を突いた一連の攻撃手法の総称です。ベルギーのルーヴェン・カトリック大学（KU Leuven）のCOSIC研究グループによって発見されました。
Google Fast Pairは、AndroidデバイスとBluetoothアクセサリをワンタップで簡単にペアリングし、アカウント間で同期するための便利な機能です。
しかし、多くの主要メーカーのフラッグシップ製品において、このFast Pairの実装が正しく行われていないことが判明しました。この不備により、攻撃者は物理的な接触なしに、わずか数秒でターゲットのデバイスをハイジャックすることが可能になります。
攻撃の仕組み：なぜ乗っ取られるのか
ペアリングモードの確認欠如
通常、Bluetooth機器を新しいデバイスと接続する際には、ユーザーがボタンを長押しするなどして「ペアリングモード」にする必要があります。Fast Pairの仕様書でも、アクセサリがペアリングモードでない場合、接続要求（メッセージ）を無視すべきであると定められています。
しかし、多くの脆弱なデバイスではこのチェックが欠落していました。
攻撃者は、ターゲットのアクセサリ（プロバイダー）に対してペアリング要求のメッセージを送信します。
脆弱なデバイスは、本来無視すべきこの要求を受け入れ、ペアリングプロセスを開始してしまいます。 この攻撃は、攻撃者がBluetooth対応のPCやスマートフォン（シーカー）を使用するだけで実行でき、ユーザーの操作は一切不要です。
攻撃の実行速度と距離
研究チームの実証実験によると、この攻撃は現実的な距離（最大14メートル）において、中央値わずか10秒で成功することが確認されています。 一度ペアリングが完了すると、攻撃者はデバイスの完全な制御権を握ることができます。これにより、大音量で音声を再生したり、マイク機能を利用して周囲の会話を盗聴したりすることが可能になります。
Google「Find Hub」ネットワークを悪用した位置追跡
WhisperPairの脅威は、音声の乗っ取りだけにとどまりません。Googleの「Find Hub」ネットワーク（デバイスを探すネットワーク）を悪用し、被害者の位置情報を追跡する手法も明らかになりました。
追跡のメカニズム
Fast Pair対応デバイスには、所有者を識別するための「Account Key」が書き込まれます。最初に書き込まれたキーが「所有者（Owner）」として認識されます。 もし被害者が、自身のBluetoothアクセサリを一度もAndroidデバイスとペアリングしていない場合（例：iPhoneのみで使用している場合や、購入直後の場合）、そのアクセサリには所有者のキーが設定されていません。
攻撃者はこの隙を突き、自身のGoogleアカウントにそのアクセサリを登録し、「所有者」になりすますことができます。これにより、世界中のAndroid端末が形成するクラウドソーシング型の位置情報ネットワーク「Find Hub」を通じて、被害者の移動履歴や現在地を追跡できるようになります。
気づきにくい通知
被害者のスマートフォン（Androidの場合）には、数時間から数日後に「不明な追跡通知」が表示される可能性があります。しかし、この通知には被害者自身が所有しているはずのデバイスが表示されるため、多くのユーザーはこれをバグや誤作動だと思い込み、警告を無視してしまう傾向があります。その結果、攻撃者は長期間にわたって追跡を継続できてしまいます。
iPhoneユーザーも標的になる
WhisperPairはAndroid固有の問題ではありません。脆弱性はアクセサリ側のファームウェア（内部ソフトウェア）に存在するため、使用しているスマートフォンがiPhoneであっても、脆弱なBluetoothイヤホンやヘッドホンを使用している限り攻撃を受けるリスクがあります。
また、アクセサリ側のFast Pair機能はユーザーが無効化できない仕様になっているため、OSの設定で防ぐことも困難です。
影響を受けるデバイスとメーカー
この脆弱性は特定のメーカーに限った話ではありません。研究によると、複数のベンダー、チップセットにまたがる広範な問題であることが確認されています。 影響を受けるとされる主なメーカーには以下が含まれます
-
Google
-
Sony
-
JBL
-
Jabra
-
Logitech
-
Marshall
-
Nothing
-
OnePlus
-
Soundcore
-
Xiaomi
これらのデバイスは、メーカーの品質保証テスト（QA）およびGoogleの認証プロセスを通過して市場に出回っています。研究者はこれを「個々の開発者のミスではなく、システム全体の不備（Systemic failure）」であり、実装・検証・認証の3つのレベルすべてで脆弱性の検出に失敗したコンプライアンス上の欠陥であると指摘しています。
対策と修正状況
唯一の解決策：ファームウェアのアップデート
WhisperPair脆弱性を修正する唯一の方法は、
アクセサリの製造元が提供する「ソフトウェア（ファームウェア）アップデート」を適用することです。 スマートフォンのOSを更新したり、デバイスのペアリングを解除・初期化したりするだけでは、根本的な解決にはなりません。
公開と対応状況
研究チームは2025年8月にGoogleへこの脆弱性（CVE-2025-36911）を報告し、Googleはこれを「Critical（緊急）」と分類しました。 150日間の開示猶予期間が設けられ、その間にGoogleはパートナー企業と協力してセキュリティパッチの開発に取り組みました。
多くのメーカーから既にパッチがリリースされていますが、すべてのデバイスに対して行き渡っているわけではありません。ユーザーは各メーカーの公式サイトや専用アプリを通じて、自身のデバイスにアップデートが提供されているかを確認し、速やかに適用することが推奨されます。
なお、この発見に対し、Googleはバグ報奨金プログラムにおける最高額である15,000ドルを研究チームに授与しました。
参照
関連記事
約4,000万以上のパスワードマネージャー ブラウザ拡張機能で機密情報が漏洩する脆弱性
GitHubの非公開リポジトリがMicrosoftのAIアシスタント「Copilot」により無断公開
Docker Hub イメージから1万以上の認証情報や認証キーなどが漏洩の可能性
Java、Undertow HTTPサーバにおけるHostヘッダ検証不備の脆弱性(CVE-2025-12543)
zlibに深刻な脆弱性(CVE-2026-22184)
Microsoft Teamsのゲストチャットの不具合で、ユーザーが気づかずにサイバー攻撃の脅威に晒される
主要なLLMに有効なプロンプト インジェクション「Policy Puppetry」-サイバー攻撃への悪用が容易
クラウドストライクがEDR Falcon Sensorによる世界的な障害についての根本原因を発表
オンラインコード/JSON 整形ツールに貼り付けた機密情報が世界に晒されている-秘密鍵や個人情報など大量に漏洩
