Beats, Bose, JBL y Jabra: millones de auriculares inalámbricos permitieron durante años que desconocidos escucharan sus conversaciones.

Apple cerró una vulnerabilidad en los auriculares inalámbricos Beats Studio Buds, por la cual un atacante cercano podía escuchar conversaciones y sonidos a través del micrófono del dispositivo conectado.

El problema CVE-2025-20701 (CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 8.8 High) está relacionado con que el firmware de los chips encargados del Bluetooth no verifica correctamente la autenticidad. En determinadas condiciones, una persona en el área de cobertura podía hacer pasar su dispositivo por uno ya conocido por los auriculares e interferir en la conexión. Los especialistas mostraron anteriormente varias variantes de ese ataque, incluidos escenarios en los que el atacante obtiene la posibilidad de escuchar el sonido del micrófono del teléfono.

Apple publicó una corrección como parte de la actualización de firmware Beats Firmware Update 1B211. La actualización se instala automáticamente cuando los auriculares están emparejados con un iPhone, iPad o Mac y se encuentran cerca del dispositivo por Bluetooth. Se puede comprobar la versión del firmware en los ajustes de Bluetooth, abriendo los detalles de los auriculares conectados.

La vulnerabilidad pertenece a un conjunto de problemas que se divulgaron ya en 2025. Los fallos afectaban a los chips de Airoha Systems, que usan distintos fabricantes de auriculares inalámbricos. Tras la publicación de los datos, Airoha lanzó un kit de desarrollo actualizado para sus socios, y los fabricantes comenzaron a actualizar sus propios dispositivos.

Apple no fue la única empresa que cerró la vulnerabilidad en auriculares. Las correcciones también fueron preparadas por Jabra, y Bose y JBL afirmaron que sus dispositivos ya recibieron las actualizaciones necesarias. El conjunto de vulnerabilidades podía permitir no solo escuchar sonido, sino en algunos casos obtener el historial de llamadas, contactos o iniciar llamadas. El alcance de las acciones posibles dependía del dispositivo concreto y de sus capacidades.

Problemas similares se dan fuera de los productos basados en chips de Airoha. En enero, especialistas describieron los ataques WhisperPair a dispositivos que usan el protocolo Google Fast Pair. Esos fallos podían permitir interceptar dispositivos Bluetooth y en algunos casos determinar su ubicación. Entre los fabricantes afectados se mencionaron Sony, Nothing, JBL, OnePlus y la propia Google.

No hay casi datos públicos que indiquen que esos ataques se hayan usado de forma masiva. Ese escenario requiere que el atacante esté cerca de la víctima y mantenga su dispositivo en el alcance de Bluetooth. Para quienes puedan ser objetivo de ataques dirigidos, es más seguro desactivar el Bluetooth cuando no se necesite la conexión inalámbrica.