في تطور جديد يثير القلق في عالم الاتصالات اللاسلكية، كشف باحثون من مجموعة COSIC بجامعة KU Leuven عن ثغرة أمنية خطيرة في بروتوكول Google Fast Pair، أطلقوا عليها اسم WhisperPair، تحمل الرقم المرجعي CVE-2025-36911 وتقييم خطورة 7.1 وفق معيار CVSS. هذه الثغرة تسمح للمهاجمين بالاستيلاء على سماعات الرأس أو مكبرات الصوت المتأثرة دون أي تدخل من المستخدم، بل وتمكينهم من تسجيل أنفسهم كمالكين لتلك الأجهزة عبر منصة Google Find Hub، ما يفتح الباب أمام تتبع حركة المستخدمين بشكل غير مشروع.
جوجل بدورها تعاملت مع البلاغ بمسؤولية، حيث منحت الباحثين مكافأة قدرها 15 ألف دولار بعد الإفصاح عن الثغرة في أغسطس 2025، مؤكدة التزامها بتعزيز أمن بروتوكولاتها اللاسلكية.
كيف يعمل هجوم WhisperPair
وفقاً للباحثين، يتيح الهجوم للمهاجم إجبار الملحقات الضعيفة مثل السماعات اللاسلكية أو سماعات الأذن على الاقتران بجهاز يسيطر عليه المهاجم، مثل حاسوب محمول، دون موافقة المستخدم. هذا الاقتران القسري يمنح المهاجم سيطرة كاملة على الجهاز، بما في ذلك تشغيل الصوت بمستويات عالية أو استخدام الميكروفون لتسجيل المحادثات.
الأخطر أن الهجوم يتم بسرعة لافتة، حيث ينجح في غضون 10 ثوانٍ فقط ضمن نطاق واقعي يصل إلى 14 متراً، ولا يتطلب أي وصول مادي مباشر إلى الجهاز المستهدف، ما يجعله تهديداً عملياً في الأماكن العامة والمزدحمة.
تداعيات أمنية على المستخدمين
تتجاوز خطورة الهجوم مجرد العبث بالصوت أو تسجيل المحادثات، إذ إن تسجيل المهاجم نفسه كمالك للملحقات عبر Google Find Hub يتيح له تتبع موقع المستخدمين الحقيقيين. هذا السيناريو يثير مخاوف كبيرة تتعلق بالخصوصية، حيث يمكن استغلاله في مراقبة الأفراد أو استهدافهم في أنشطة تجسسية.
كما أن سرعة التنفيذ وسهولة الاستغلال تجعل من الصعب على المستخدمين اكتشاف الهجوم أو منعه في الوقت المناسب، ما يضع مسؤولية أكبر على الشركات المصنعة لتحديث بروتوكولاتها الأمنية.
ثغرات إضافية في أجهزة Xiaomi
لم تتوقف الاكتشافات عند بروتوكول Google Fast Pair، إذ أعلن CERT Coordination Center (CERT/CC) عن ثغرتين جديدتين في سماعات Xiaomi Redmi Buds من الإصدار 3 Pro وحتى 6 Pro، تحملان الرقمين CVE-2025-13834 و CVE-2025-13328.
الثغرة الأولى تتعلق بتسريب معلومات حساسة مرتبطة بالمكالمات، حيث يمكن للمهاجم ضمن نطاق البلوتوث إرسال تفاعلات مصممة خصيصاً عبر بروتوكول RFCOMM إلى القنوات الداخلية للجهاز دون الحاجة للاقتران أو المصادقة، مما يؤدي إلى كشف بيانات حساسة.
أما الثغرة الثانية فهي هجوم حرمان من الخدمة (DoS)، حيث يمكن للمهاجم التسبب في انهيار متكرر للبرمجيات الثابتة للسماعات، ما يعطل استخدامها بشكل كامل ويؤثر على تجربة المستخدم.
خلفيات تقنية وسياق أوسع
تأتي هذه الثغرات في وقت يشهد فيه سوق الملحقات اللاسلكية نمواً متسارعاً، حيث يعتمد ملايين المستخدمين حول العالم على سماعات البلوتوث ومكبرات الصوت الذكية في حياتهم اليومية. ومع هذا الانتشار، تصبح أي ثغرة أمنية ذات تأثير واسع النطاق، خصوصاً إذا كانت تسمح بالتحكم عن بعد أو التجسس على المحادثات.
كما أن بروتوكولات مثل Fast Pair صُممت أساساً لتسهيل تجربة المستخدم عبر الاقتران السريع والآمن، لكن هذه الثغرات تكشف أن سهولة الاستخدام قد تأتي أحياناً على حساب الأمان، ما يفرض ضرورة إعادة تقييم التوازن بين الراحة والخصوصية.
الخبراء يشددون على أهمية التحديثات الأمنية الدورية، وضرورة وعي المستخدمين بالمخاطر المحتملة، خاصة في ظل تزايد الهجمات التي تستهدف الأجهزة الذكية المتصلة بالإنترنت.
