Actualiza tus auriculares y altavoces Bluetooth ya: descubren un fallo que los deja expuestos frente a hackeos

Google lanzó en España el protocolo 'Fast Pair' (‘emparejamiento rápido’, en castellano) para el audio en 2022, una tecnología que utiliza Bluetooth y la ubicación del teléfono Android para descubrir automáticamente los accesorios más cercanos y conectarse con un simple toque, como auriculares o altavoces inalámbricos.

Sin embargo, un grupo de investigadores ha descubierto una serie de vulnerabilidades en dicho protocolo que pueden permitir a los hackers conectarse con la misma comodidad a cientos de millones de auriculares y altavoces inalámbricos; por lo que instan a los usuarios a actualizarlos lo antes posible.

El estudio llevado a cabo por los investigadores, denominado 'WhisperPair', señala que existe una enorme colección de dispositivos de audio compatibles con 'Fast Pair' que permiten a cualquier ciberdelincuente tomar el control de los altavoces, auriculares y micrófonos para el hackeo o el espionaje.

Así es como los 'hackers' están utilizando la inteligencia artificial para estafarte sin que te enteres: "Nadie está a salvo"

Incluso en algunos cascos estas vulnerabilidades permiten a los piratas informáticos rastrear la ubicación de un objetivo sin que este se dé cuenta. Una víctima que puede ser usuario de un iPhone y nunca haber tenido en su posesión un producto de Google.

El grupo de investigadores indica en su estudio que en agosto de 2025 avisaron a Google sobre estas vulnerabilidades, que se marcaron como críticas y se les asignó un plazo de divulgación de 150 días para garantizar la máxima seguridad a los usuarios; aunque la gran mayoría no parece correr riesgo.

Así funciona el hackeo

El funcionamiento del hackeo es el siguiente. Los ciberdelincuentes pueden usar cualquier dispositivo Bluetooth —desde un ordenador portátil hasta una Raspberry Pi— para atacar un dispositivo vulnerable, emparejándose a él de forma remota sin tener que interactuar físicamente con el mismo.

La brecha de seguridad surge en los accesorios que omiten el proceso de detectar si el producto está activamente en modo emparejamiento. Si no se incluye en el software del dispositivo, los piratas informáticos pueden conectarse a él de forma remota.

El panel de control del hacker (izqda) y la notificación de seguimiento (dcha). WhisperPair Omicrono

Para que el usuario conozca esta situación solamente hay una forma posible: a través de una posible notificación de 'seguimiento no deseado' que muestra el propio dispositivo de la víctima como fuente.

Los investigadores explican que este fallo se debe principalmente a que muchos accesorios Bluetooth no aplican un paso crítico en el proceso de emparejamiento.

Las contraseñas más usadas en España son un chollo para los 'hackers': "Una tendencia especialmente preocupante"

Para comenzar el proceso de 'Fast Pair', el dispositivo que busca (como un teléfono) envía una notificación al dispositivo proveedor (el accesorio) para indicar su intención de emparejarse. El protocolo de Google establece que, si el accesorio no está en modo emparejamiento, se deben ignorar estos mensajes.

Por lo que, tras recibir una respuesta del dispositivo vulnerable, los hackers pueden finalizar el procedimiento 'Fast Pair' estableciendo un emparejamiento Bluetooth normal.

Pixel Buds Pro Álvarez del Vayo El Androide Libre

Los investigadores señalan en su estudio que no todos los accesorios 'Fast Pair' pueden ser secuestrados mediante estos métodos, pero aquellos que son vulnerables pueden permitir a los ciberdelincuentes realizar diferentes tareas.

Desde seguir una ubicación a través de 'Find Hub' hasta interrumpir la reproducción de audio o grabar llamadas telefónicas y el entorno. Unas amenazas que van dirigidas a los dispositivos compatibles con este protocolo, y no a un teléfono móvil específico, por lo que los afectados pueden ser de Android o de iOS.

Entre los dispositivos afectados se encuentran los auriculares WH-1000XM6 de Sony (así como sus dos predecesores, los XM5 y los XM4, y los auriculares de Sony), los Nothing Ear (a), los OnePlus Nord Buds 3 Pro y los Pixel Buds Pro 2 de Google.

Los investigadores recomiendan a los usuarios mantener actualizados sus dispositivos compatibles con 'Fast Pair' aplicando todas las actualizaciones disponibles, ya que esta función no puede desactivarse directamente por el usuario final.