私たちは今、かつてないほど「接続」された世界に生きている。スマートフォンとワイヤレスイヤホンが、タップひとつで魔法のように繋がる体験――Googleが提供する「Fast Pair」は、その利便性の象徴だ。しかし、ベルギーの名門大学KU Leuven（ルーヴェン・カトリック大学）のセキュリティ研究チーム「COSIC」が投じた一石は、その魔法が恐るべき「呪い」へと反転しうる現実を突きつけた。
2026年1月16日、世界中のテックメディアが一斉に報じた新たな脆弱性、その名は「WhisperPair」。
この脆弱性は、Sony、JBL、そしてGoogle自身のPixel Budsを含む、数億台規模のBluetoothオーディオ機器に影響を及ぼす。攻撃者は、あなたの耳元にあるデバイスをわずか数秒で乗っ取り、会話を盗聴し、あまつさえあなたの位置情報を24時間追跡することすら可能にする。最も恐ろしいのは、これがAndroidユーザーだけの問題ではなく、iPhoneユーザーであっても、対象のイヤホンを使っていれば標的になり得るという事実だ。
脆弱性の正体：CVE-2025-36911「WhisperPair」とは何か
影響範囲の広大さと深刻度
「WhisperPair」と名付けられたこの一連の攻撃手法は、共通脆弱性識別子「CVE-2025-36911」として登録されている。これは単なる理論上のバグではない。研究チームの実証実験により、攻撃者はBluetoothの電波が届く範囲内（約14メートル以内）にいれば、ユーザーの操作なしに、わずか10秒程度でターゲットのデバイスを乗っ取れることが証明された。
特筆すべきは、その影響を受けるデバイスの多様性と数である。研究チームがテストした多くのフラッグシップモデルにおいて、脆弱性が確認された。
- Google: Pixel Buds Pro 2
- Sony: WH-1000XM6, WH-1000XM5 など
- JBL: 複数の人気モデル
- その他: OnePlus, Xiaomi, Nothing, Jabra, Soundcore など
これらは市場シェアの大部分を占めるブランドであり、「数億台」という規模感は決して誇張ではない。これらのデバイスは、メーカーの品質保証テスト（QA）やGoogleの認証プロセスを通過していたにもかかわらず、この重大な欠陥を抱えたまま市場に出回っていたのである。
「実装」の落とし穴：プロトコルではなく作り込みのミス
重要なのは、WhisperPairがGoogle Fast Pairの「プロトコル（規格そのもの）」の欠陥ではないという点だ。問題の本質は、各メーカーやチップセットベンダーによる規格の「実装」にある。
Google Fast Pairの仕様書には、セキュリティを担保するための明確なルールが存在する。しかし、多くのメーカーがこのルールを正しくコードに落とし込むことを怠った、あるいは誤解釈した結果、この脆弱性が生まれたのだ。これは、IoT（モノのインターネット）業界全体が抱える「機能優先・セキュリティ後回し」の体質を浮き彫りにしていると言える。
なぜ「乗っ取り」は起こるのか
このセクションでは、なぜこれほど簡単に乗っ取りが可能になってしまうのか、そのメカニズムを物理的・論理的なレイヤーから見てみよう。
Fast Pairの仕組みと「ステート（状態）」の無視
通常、Bluetooth機器のペアリングは、ユーザーがボタンを長押しして「ペアリングモード」にすることから始まる。
Fast Pairのプロセスにおいて、スマートフォン（Seeker/探求者）は、周辺のアクセサリ（Provider/提供者）に対して「ペアリングしたい」というメッセージを送信する。
Googleの仕様では、アクセサリ側は「自身がペアリングモードにある場合のみ」、このメッセージに応答すべきであると定めている。これがセキュリティの第一の防壁だ。
しかし、WhisperPairに対して脆弱なデバイスは、この重要な「状態チェック（State Check）」を無視してしまう。つまり、ユーザーが音楽を聴いている最中であろうと、カバンの中に入っていようと、攻撃者からの「ペアリング要求」に対して無条件に「はい、ここにいます」と応答してしまうのだ。
認証なき強制接続
一度アクセサリが応答してしまえば、攻撃者は正規のBluetoothペアリングプロセスを開始できる。本来であれば、既に他のデバイスと接続されているイヤホンは、新たな接続要求を拒否するか、ユーザーの承認を求めるべきだ。しかし、実装の不備により、攻撃者はユーザーの同意なしに強制的に割り込み、接続を確立できてしまう。
これを現実世界に例えるなら、「鍵がかかっているはずの家のドアが、誰かがノックしただけで勝手に開いてしまう」ようなものだ。
脅威の具体化：盗聴、そして「Find Hub」による追跡
デバイスが乗っ取られた後、何が起こるのか。単に音楽を勝手に流される「いたずら」レベルでは済まされないリスクが存在する。
リモート盗聴と音声注入
攻撃者がデバイスの制御権を奪うと、そのデバイスが持つ機能のすべてにアクセス可能になる。
マイク搭載のイヤホンやヘッドセットであれば、周囲の音や会話を拾い、攻撃者の手元に送信することが可能だ。また、大音量のアラート音を流してユーザーを混乱させたり、偽の音声案内を流してフィッシング詐欺に誘導したりする「音声注入攻撃」も成立する。
最大の脅威：Google「Find Hub」の悪用
今回の発見で最も戦慄すべき点は、Googleの広大なデバイス探索ネットワーク「Find Hub」が悪用されるシナリオだ。
通常、Find Hubは紛失した自分のデバイスを探すための便利な機能である。しかし、WhisperPair攻撃では、これがストーカーのための追跡ツールへと変貌する。
- 所有権の強奪:
Androidでは、最初にFast Pairで接続したアカウントがそのデバイスの「オーナー」として登録される。もし、被害者がiPhoneユーザーで、一度もAndroidデバイスとFast Pair接続をしたことがない場合、そのアクセサリには「オーナー」が存在しない状態となる（あるいは、脆弱性を突いてオーナー情報を上書きできるケースもある）。 - 悪意ある登録:
攻撃者は脆弱性を利用して接続し、自分のGoogleアカウントにそのアクセサリを「自分のもの」として登録する。 - 群衆による追跡:
一度登録されれば、世界中のAndroid端末が形成する巨大なFind Hubネットワークが、そのアクセサリ（＝被害者）の位置情報を検知し、攻撃者のマップ上にリアルタイムで表示し続ける。
「あなた自身のデバイス」があなたを追跡する
AppleのAirTagなどが悪用された場合、スマートフォンには「不明なデバイスがあなたと一緒に移動しています」という警告が出る。しかし、WhisperPairの場合、被害者のスマホに表示される警告は「（被害者自身の）イヤホンが見つかりました」という通常の通知に見えてしまう可能性がある。
ユーザーは「ああ、自分のイヤホンの反応か」と誤認し、警告を無視してしまう。これが、発見者が警鐘を鳴らす「バグに見せかけた永続的な追跡」の恐ろしさだ。
iPhoneユーザーこそが危ない？ プラットフォームを超えたリスク
一般的に、Android関連の脆弱性と聞けば、iPhoneユーザーは他人事のように感じるかもしれない。しかし、WhisperPairに関してはiPhoneユーザーこそが高リスクである可能性がある。
なぜなら、iPhoneユーザーは通常、Google Fast Pairを使用しない。そのため、所有するイヤホンやヘッドホンの「Fast Pair上のオーナー権限」が空席のままになっているケースが多いからだ。攻撃者はこの「空席」に滑り込み、あなたの愛用するSonyやJBLのヘッドホンを、あなたの位置を特定するためのビーコンとして利用する。
脆弱性はスマートフォンのOSにあるのではなく、アクセサリのファームウェア（内部ソフトウェア）に存在する。したがって、親機がiPhoneであろうとPCであろうと、イヤホン自体が脆弱であれば攻撃は成立するのだ。
対策と解決：我々は何をすべきか
この深刻な事態に対し、ユーザーが取れる対策は限られているが、極めて重要だ。
1. ファームウェアの更新（絶対的・最優先事項）
唯一にして最大の防御策は、メーカーが提供する修正パッチを適用することだ。
多くのユーザーは、イヤホンを買ったまま一度もアップデートしていないかもしれない。今すぐ以下の手順を実行してほしい。
- 各メーカーの専用コンパニオンアプリ（Sonyなら「Headphones Connect」、JBLなら「JBL Headphones」など）を起動する。
- デバイスを接続し、ソフトウェアアップデートの有無を確認する。
- 更新がある場合は、直ちに適用する。
Googleは昨年の8月にこの報告を受け、Pixel Budsシリーズについては既に修正済みとしている。また、各メーカーとも連携し、修正パッチの開発を促している。しかし、すべてのモデルでパッチが出揃っているわけではないため、継続的な確認が必要だ。
2. ファクトリーリセット（一時的な対処）
もし、身に覚えのない接続通知が来たり、挙動がおかしいと感じたりした場合は、デバイスの「ファクトリーリセット（工場出荷時設定への初期化）」を行うべきだ。これにより、攻撃者が登録したオーナー鍵やペアリング情報を削除できる。ただし、ファームウェア自体が古いままであれば、再び攻撃を受けるリスクは残る。
3. Fast Pairの無効化（Android側の緩和策）
Android端末の設定で「Fast Pair」の検出をオフにすることはできる。しかし、これは「自分のスマホがFast Pairを使わない」ようにするだけであり、イヤホン側の脆弱性を塞ぐものではない。攻撃者は自分の端末を使ってイヤホンを攻撃するため、この設定変更は根本的な解決にはならないことを理解しておく必要がある。
利便性とセキュリティの均衡点
WhisperPairの発見は、ワイヤレス技術の進化に対する痛烈な教訓である。「接続のしやすさ」を追求するあまり、基本的な認証プロセスがおろそかにされた結果、数億人のプライバシーが危険に晒された。
KU Leuvenの研究者ら（Sayon Duttagupta氏, Nikola Antonijević氏ら）の功績は、単なるバグの発見に留まらない。彼らは、Bluetooth LEという物理層と、その上で動くアプリケーション層（Fast Pair）の間の「信頼のギャップ」を可視化したのだ。
Googleはこの発見に対し、最大額のバグ報奨金（15,000ドル）を支払った。これは事態の深刻さを物語っている。
あなたのポケットの中にあるそのイヤホンは、音楽を奏でるパートナーだろうか、それともあなたの居場所を囁き続けるスパイだろうか。その答えは、あなたが今すぐ「アップデート」ボタンを押すかどうかにかかっている。
Sources