Uma vulnerabilidade recém-descoberta, chamada WhisperPair, pode transformar fones de ouvido e headsets Bluetooth de diversas marcas conhecidas em dispositivos pessoais de rastreamento, mesmo se os acessórios estiverem conectados a um iPhone, smartphone Android ou em um laptop. Embora a tecnologia por trás dessa falha tenha sido originalmente desenvolvida pelo Google para dispositivos Android, os riscos de rastreamento são, na verdade, muito maiores para aqueles que usam fones de ouvido vulneráveis com outros sistemas operacionais, como iOS, macOS, Windows ou Linux. Para os usuários de iPhone, isso é ainda mais preocupante.

A conexão de fones de ouvido Bluetooth em smartphones Android ficou muito mais rápida quando o Google lançou o Fast Pair, uma tecnologia agora usada por dezenas de fabricantes de acessórios. Para parear um novo fone de ouvido, basta ligá-lo e segurá-lo próximo ao telefone. Se o dispositivo for relativamente moderno (produzido após 2019), será exibida uma janela pop-up convidando você a se conectar e baixar o aplicativo correspondente, caso exista. Basta um toque para começar.

Infelizmente, parece que muitos fabricantes não prestaram atenção aos detalhes dessa tecnologia ao implementá-la, e agora seus acessórios podem ser invadidos pelo smartphone de um estranho em segundos, mesmo que o fone de ouvido não esteja no modo de pareamento. Esse é o núcleo da vulnerabilidade do WhisperPair, recentemente descoberta por pesquisadores da KU Leuven e registrada como CVE-2025-36911.

O dispositivo de ataque (que pode ser um smartphone, tablet ou laptop padrão) transmite as solicitações do Google Fast Pair para qualquer dispositivo Bluetooth em um raio de 14 metros. Ao que tudo indica, uma longa lista de fones de ouvido da Sony, JBL, Redmi, Anker, Marshall, Jabra, OnePlus e, até mesmo do próprio Google (os Pixel Buds 2), responde a esses sinais mesmo quando não estão tentando parear. Em média, o ataque leva apenas 10 segundos.

Depois que os fones de ouvido são pareados, o invasor pode fazer praticamente tudo o que o proprietário pode: ouvir pelo microfone, reproduzir música em alto volume ou, em alguns casos, localizar os fones de ouvido em um mapa, se forem compatíveis com o Google Find Hub. Esse último recurso, projetado exclusivamente para encontrar fones de ouvido perdidos, cria uma oportunidade perfeita para rastreamento remoto furtivo. E aqui está a reviravolta: na verdade, é mais perigoso para usuários da Apple e qualquer outra pessoa que use hardware que não seja Android.

Rastreamento remoto e os riscos para iPhones

Quando fones de ouvido ou um headset são conectados pela primeira vez a um dispositivo Android por meio do protocolo Fast Pair, uma chave de proprietário vinculada à conta do Google desse smartphone é armazenada na memória do acessório. Essas informações permitem que os fones de ouvido sejam encontrados posteriormente, aproveitando os dados coletados de milhões de dispositivos Android. Se algum smartphone aleatório detectar o dispositivo alvo nas proximidades via Bluetooth, ele informará sua localização aos servidores do Google. Esse recurso, o Google Find Hub, é essencialmente a versão Android do Find My da Apple e apresenta os mesmos riscos de rastreamento não autorizados que um AirTag não autorizado.

Quando um invasor sequestra o pareamento, a chave pode ser salva como a chave do proprietário do fone de ouvido, mas somente se o fone de ouvido visado pelo WhisperPair não tiver sido previamente vinculado a um dispositivo Android e tiver sido usado apenas com um iPhone, ou com outro hardware, como um laptop com um sistema operacional diferente. Depois que os fones de ouvido são pareados, o invasor pode rastrear a localização deles em um mapa quando quiser; essencialmente, em qualquer lugar (não apenas dentro do alcance de 14 metros).

Os usuários do Android que já usaram o Fast Pair para vincular seus fones de ouvido vulneráveis estão protegidos contra essa mudança específica, pois já estão conectados como proprietários oficiais. Todos os outros, no entanto, provavelmente devem verificar novamente a documentação do fabricante para ver se estão livres de riscos. Felizmente, nem todos os dispositivos vulneráveis à exploração realmente são compatíveis com o Google Find Hub.

Como neutralizar a ameaça do WhisperPair

A única maneira realmente eficaz de corrigir esse bug é atualizar o firmware dos fones de ouvido, desde que uma atualização esteja disponível. Normalmente, você pode verificar e instalar atualizações por meio do aplicativo oficial complementar do fone de ouvido. Os pesquisadores compilaram uma lista de dispositivos vulneráveis em seu site, mas é quase certo que ela não esteja completa.

Depois de atualizar o firmware, é imprescindível realizar uma restauração de fábrica para apagar a lista de dispositivos pareados, incluindo todos os dispositivos indesejados.

Se não houver atualização de firmware disponível e você estiver usando seu fone de ouvido com iOS, macOS, Windows ou Linux, sua única opção é encontrar um smartphone Android (ou pedir a um amigo de confiança que tenha um) e usá-lo para reivindicar a função de proprietário original. Isso impedirá que qualquer outra pessoa adicione seus fones de ouvido ao Google Find Hub sem o seu conhecimento.

A atualização do Google

Em janeiro de 2026, o Google lançou uma atualização do Android para corrigir a vulnerabilidade do sistema operacional. Infelizmente, os detalhes não foram divulgados, então, resta apenas especular o que foi modificado internamente. Provavelmente, os smartphones atualizados não informarão mais a localização de acessórios sequestrados via WhisperPair para a rede do Google Find Hub. Mas, considerando que nem todos são exatamente rápidos na instalação de atualizações do Android, é seguro afirmar que esse tipo de rastreamento por fone de ouvido continuará viável por pelo menos mais alguns anos.

Quer descobrir de que outras maneiras seus dispositivos eletrônicos podem estar espionando você? Confira estas postagens:

• Como se proteger de stalking por Bluetooth e muito mais
• Como rastrear alguém usando a rede do serviço Find My
• Como parar de ser monitorado por beacons Bluetooth, como o AirTag
• Como os smartphones criam um dossiê sobre você
• Descubra por que os corretores de dados criam dossiês sobre você e como impedir que eles façam isso

A polícia sul-coreana prendeu quatro suspeitos ligados à violação de aproximadamente 120 mil câmeras IP instaladas em residências e espaços comerciais, incluindo karaokês, estúdios de pilates e uma clínica de ginecologia. Dois dos hackers venderam imagens sexualmente explícitas captadas pelas câmeras por meio de um site estrangeiro de conteúdo adulto. Nesta publicação, explicamos o que são as câmeras IP e quais as suas vulnerabilidades. Também nos aprofundamos nos detalhes do incidente na Coreia do Sul e compartilhamos conselhos práticos sobre como evitar se tornar um alvo para invasores que buscam conteúdo de vídeos íntimos.

Como as câmeras IP funcionam?

Uma câmera IP é uma câmera de vídeo conectada à Internet usando o Protocolo de Internet (IP). Essa conexão faz com que seja possível visualizar seu feed remotamente usando um smartphone ou computador. Ao contrário dos sistemas de vigilância CCTV tradicionais, essas câmeras não exigem uma central de vigilância local, como mostrado nos filmes, nem mesmo um computador dedicado conectado a elas. Uma câmera IP transmite o vídeo em tempo real pela Internet para qualquer dispositivo que esteja conectado a ela. Atualmente, a maioria dos fabricantes de câmeras IP também oferece planos opcionais de armazenamento em nuvem, permitindo que você acesse as imagens gravadas em qualquer lugar do mundo.

Nos últimos anos, as câmeras IP se tornaram muito populares e estão por toda parte, sendo usadas para os mais diversos fins: desde cuidar de crianças e animais de estimação em casa até proteger armazéns, escritórios, apartamentos de aluguel por temporada (às vezes de maneira irregular) e pequenos negócios. Modelos básicos podem ser encontrados online por preços a partir de 25 a 40 dólares.

Um dos recursos essenciais das câmeras IP é terem sido projetadas originalmente para acesso remoto. A câmera conecta-se à Internet e aceita silenciosamente conexões de entrada, e ela já pode transmitir vídeo para qualquer pessoa que tenha seu endereço e senha. E isso gera dois problemas comuns desses dispositivos.

1. Senhas padrão. Os proprietários de câmeras IP não costumam alterar os nomes de usuário e senhas padrão que já vêm pré-configurados no dispositivo.
2. Vulnerabilidades em softwares desatualizados. Atualizações de software para câmeras geralmente exigem intervenção manual: você precisa acessar a interface de administração, verificar se há uma atualização e instalá-la manualmente. Muitos usuários costumam ignorar isso completamente. Ou pior, as atualizações podem nem ao menos existir, pois muitos fornecedores de câmeras ignoram a segurança e deixam de oferecer suporte logo após a venda.

O que aconteceu na Coreia do Sul?

Vamos voltar ao que ocorreu neste outono na Coreia do Sul. As autoridades policiais relataram uma violação de cerca de 120 mil câmeras IP e a prisão de quatro suspeitos ligados aos ataques. Aqui está o que sabemos sobre cada um deles.

• Suspeito 1, desempregado, hackeou cerca de 63 mil câmeras IP, produziu e depois vendeu 545 vídeos de conteúdo sexual explícito por um total de 35 milhões de wons sul-coreanos, o equivalente a pouco menos de 24 mil dólares.
• Suspeito 2, funcionário de escritório, violou cerca de 70 mil câmeras IP e vendeu 648 vídeos sexuais ilícitos por 18 milhões de wons sul-coreanos (cerca de 12 mil dólares).
• Suspeito 3, autônomo, hackeou 15 mil câmeras IP e criou conteúdo ilegal, incluindo imagens de menores de idade. Até o momento, não há informações indicando que ele vendeu algum material.
• Suspeito 4, funcionário de escritório, aparentemente violou apenas 136 câmeras IP e não foi acusado de produzir ou vender conteúdo ilegal.

O leitor atento pode ter percebido que os números não batem exatamente: as cifras acima totalizam bem mais de 120 mil. As autoridades sul-coreanas não forneceram uma explicação clara para essa discrepância. Os jornalistas especulam que alguns dispositivos podem ter sido comprometidos por mais de um invasor.

A investigação revelou que só dois suspeitos venderam o conteúdo sexual que roubaram. No entanto, a dimensão da operação deles é impressionante. No ano passado, o site que ambos os autores utilizaram para vender seus vídeos e que hospeda conteúdo de voyeurismo e exploração sexual recebeu 62% de seus uploads só desses indivíduos. Em essência, isso significa que a dupla de entusiastas de vídeo forneceu a maior parte do conteúdo ilegal da plataforma. Também foi relatada a detenção de três compradores desses vídeos.

Os investigadores sul-coreanos conseguiram identificar com precisão o local de 58 câmeras hackeadas. Eles notificaram as vítimas e forneceram orientações sobre como alterar as senhas para proteger suas câmeras IP. Ainda que os investigadores não tenham divulgado detalhes sobre o método de comprometimento, isso indica que os invasores usaram força bruta para decifrar as senhas simples das câmeras.

Outra possibilidade é que os proprietários, como acontece com frequência, simplesmente nunca tenham alterado os nomes de usuário e as senhas padrão. Essas credenciais padrão são amplamente conhecidas, portanto, é perfeitamente plausível que, para obter acesso, os invasores só precisassem saber o endereço IP da câmera e testar algumas combinações comuns de nome de usuário e senha.

Como evitar ser vítima de hackers voyers

As principais lições de todo esse dorama sul-coreano saem diretamente do nosso manual:

• Sempre substitua as credenciais de fábrica por logins e senhas próprios.
• Nunca use senhas fracas ou simples, mesmo para contas ou gadgets aparentemente inofensivos. Você não precisa trabalhar no Louvre para ser um alvo. Não é possível saber quais credenciais os invasores tentarão quebrar ou para onde essa violação inicial pode levá-los.
• Sempre defina senhas exclusivas. Ao reutilizar senhas, um vazamento de dados de um serviço pode colocar todas as suas outras contas em risco.

Essas regras são universais: valem tanto para contas de redes sociais e serviços bancários quanto para robôs aspiradores, câmeras IP e qualquer outro dispositivo inteligente da sua casa.

Para manter todas essas senhas exclusivas organizadas sem perder a cabeça, recomendamos um gerenciador de senhas confiável. O Kaspersky Password Manager pode armazenar todas as suas credenciais com segurança e gerar senhas aleatórias, complexas e indecifráveis. Com ele, você pode ter a tranquilidade de que ninguém descobrirá as senhas de suas contas ou dispositivos. Além disso, ele ajuda você a gerar códigos únicos para autenticação de dois fatores, salvar e preencher automaticamente chaves de acesso e sincronizar seus dados sensíveis (não apenas logins e senhas, mas também dados de cartões bancários, documentos e até fotos privadas) de forma criptografada em todos os seus dispositivos.

Desconfia que uma câmera oculta pode estar filmando você? Leia mais em nossas publicações:

• Perseguição por webcam: fato ou ficção?
• Segurança ao usar o Airbnb: dicas para viagem tranquila
• Quatro maneiras de encontrar câmeras espiãs
• Lumos: Sistema de detecção de dispositivos IoT
• Perigos na segurança das câmeras IP