Sedíte v uzavřeném salónku oblíbené kavárny. S obchodním partnerem projednáváte citlivý byznys. Pokud by se o obsahu schůzky dozvěděla konkurence, mohla by vás předběhnout a desítky milionů korun by byly v tahu. Jednání bylo úspěšné a vy se spokojeně vracíte domů. Ještě v taxíku vám ale volá šéf. Někdo konkurenci vyzradil obsah celého vašeho rozhovoru. Kontrakt je ztracený. Koukáte do telefonu a nechápete. Jak je možné, že se to dozvěděli?
Tento text pro vás připravujeme i v audioverzi.
Možná za to celé může technologie bluetooth a člověk sedící ve vedlejší místnosti jen pár metrů od vás. Zneužil totiž jednu z bezpečnostních chyb ve vašich sluchátkách, připojil se vám na dálku k telefonu a celý rozhovor odposlechl.
Na konci loňského roku princip takového útoku předvedli na živo výzkumníci Dennis Heinze a Frieder Steinmetz z německé bezpečnostní firmy ERNW na hackerské konferenci 39C3 v Hamburku.
Útok vypadal přibližně takto: útočník sedí v místnosti s notebookem. Pátrá po signálech bluetooth v okolí a najde sluchátka oběti. Připojí se k nim bez jakéhokoli upozornění a pomocí příkazů protokolu RACE identifikuje typ čipu a verzi softwaru. Z paměti sluchátek vytáhne šifrovací klíč, kterým jsou sluchátka spárována s telefonem oběti. S tímto klíčem se útočník dokáže vydávat za majitelova sluchátka. Telefon oběti nepozná rozdíl. Věří, že komunikuje se sluchátky majitele.
V tu chvíli má útočník přístup ke všemu, co sluchátka normálně dělají. Může odposlouchávat hovory. Získat telefonní číslo oběti a seznam kontaktů. Spustit hlasového asistenta Siri nebo Google Assistant, aniž oběť cokoli uslyší. Může iniciovat skryté hovory. Na konferenci 39C3 výzkumníci demonstrovali převzetí whatsappu nebo přístupy k účtu na Amazonu. Nástroje k provedení útoku ERNW zveřejnili na GitHubu. K jeho spuštění stačí obyčejný notebook.
Jádrem problému je chyba v čipech tchajwanské firmy Airoha Technology, která umožňuje číst v libovolné části paměti zařízení a zapisovat tam, a to včetně té části, kde jsou uložena citlivá data a šifrovací klíče. Není k tomu třeba heslo ani žádné ověření. Kdokoli se k zařízení připojí, získá plný přístup.
Výzkumníci na tuto chybu upozornili již v březnu loňského roku. Airoha zareagovala relativně rychle a vydala bezpečnostní záplaty. Jako větší problém se ale ukázali výrobci sluchátek, kteří buď nekomunikovali, nebo záplaty vydávali pozdě. Přitom čipy Airoha využívají některá sluchátka značek Sony, Bose, JBL nebo Marshall. Nicméně většina společností postupně chybu opravila. Pokud tedy uživatel pravidelně aktualizuje sluchátka, měl by být v bezpečí.
Deset sekund stačí ke spárování s cizími sluchátky
Aby toho nebylo málo, 15. ledna 2026 se objevila zpráva o další bezpečnostní chybě. Tentokrát spojené nikoli s výrobcem čipu, ale s technologií Google Fast Pair. Jde o systém, který zjednodušuje párování bluetooth sluchátek s telefonem s Androidem – přiblížíte sluchátka a na obrazovce se objeví nabídka ke spárování. Zprávu zveřejnil tým z belgické KU Leuven a jeho výzkumníci Sayon Duttagupta a Seppe Wyns.
Google Fast Pair výslovně požaduje, aby sluchátka přijímala požadavky na párování jen v párovacím režimu, což je typicky prvních pár minut po vybalení z krabice a první aktivaci nebo po aktivním zásahu uživatele. Výzkumníci zjistili, že mnoho výrobců tento postup nedodržuje. Sluchátka přijmou párovací požadavek kdykoli a od kohokoli.
Útočníkovi stačí notebook nebo třeba počítač Raspberry Pi za pár stovek korun. Najde sluchátka s Fast Pair, pošle párovací požadavek a sluchátka ho přijmou místo toho, aby ho odmítla. Za deset sekund je spárován na vzdálenost až čtrnáct metrů, a to bez jakékoli interakce ze strany oběti. S úspěšným spárováním přichází plná kontrola: přehrávání zvuku, nahrávání přes mikrofon, změna nastavení.
Odposlech ale není vše. Řada sluchátek podporuje síť Google Find Hub – systém, který pomáhá najít ztracená zařízení pomocí okolních telefonů s Androidem. Výzkumníci zjistili, že pokud sluchátka nebyla nikdy spárována s telefonem s Androidem, útočník je může zaregistrovat do vlastního účtu Google. Od toho okamžiku sleduje pohyb oběti prostřednictvím sítě dalších zařízení s Androidem. Oběť sice může po hodinách nebo dnech dostat varování o nežádoucím sledování, ale systém zobrazí jako zdroj její vlastní zařízení. Většina lidí to odmítne jako chybu. “Riziko je trvalé sledování, nikoli jednorázový incident v blízkosti. Podobně jako když vidíte své AirTagy na iPhonu,” potvrdil investigaci.cz Sayon Duttagupta, jeden z výzkumníků, kteří se na objevu zranitelnosti podíleli. Z dvaceti pěti testovaných zařízení od šestnácti výrobců bylo sedmnáct zranitelných, tedy šedesát osm procent.
Google klasifikoval zranitelnost jako kritickou a výzkumníkům udělil odměnu patnáct tisíc dolarů (tedy přibližně 300 000 korun).
Bluetooth mluví dánsky
To, co vypadá jako hypotetický scénář, se nebezpečně zhmotnilo v Dánsku. Dne 16. ledna 2026, tedy pouze jeden den po zveřejnění studie, informovala vojenská rozvědka FE (Forsvarets Efterretningstjeneste) dánské úřady o riziku odposlechu přes bluetooth. Následující den IT oddělení Národní policie rozeslalo svým příslušníkům po celé zemi interní zprávu, která jim doporučovala okamžitě deaktivovat bluetooth na všech zařízeních – mobilním telefonu, tabletu i počítači. Služebním i soukromém. Odpojit handsfree soupravu v hlídkovém autě. Přestat používat bezdrátová sluchátka. Do odvolání.
Zpráva nesla předmět “Slå Bluetooth fra” — Vypněte bluetooth. Výslovně varovala před rizikem odposlechu prostřednictvím „Bluetooth-hovedtelefoner og AirPods“. Příjemci nebyli jen policisté. Směrnice pokrývala úřady, agentury a policejní obvody.
O dva dny později to zveřejnil dánský server Radar. Podle něj některé okrsky zavedly úplný zákaz. Jiné směrnici interpretovaly volněji. Napříč celou zemí ale začali technici vytahovat z šuplíků drátová sluchátka a IT oddělení urychlovala nákupy kabelových alternativ. FE na dotaz serveru Radar odpověděla, že šlo prý o “pouhé přeposlání upozornění z webu whisperpair.eu”. Nejedná se o nezávislá hodnocení FE, zdůraznila rozvědka.
Anonymní policejní zdroje ale serveru Radar řekly něco jiného. Takto se prý “nepanikařilo” jen kvůli akademickému výzkumu a za směrnicí stojí “zcela konkrétní incident nebo podezření”.
Navíc, jak serveru investigace.cz potvrdil přímo Sayon Duttagupta, vedoucí výzkumník projektu WhisperPair z Katolické univerzity v Leuvenu, akademici neměli o reakci dánské tajné služby tušení. “Žádná dánská zpravodajská služba ani vládní agentura nás v tomto smyslu nekontaktovala,” řekl. Před rozhodnutím FE je ale oslovil člověk, který se představil jako pracovník dánského parlamentu, s technickými dotazy k fungování WhisperPair. “Odpověděli jsme mu e-mailem. Nedostali jsme žádnou zpětnou vazbu ani náznaky, že informace od nás budou použity jako formální zdůvodnění politického opatření.”
Dánská vojenská rozvědka FE ve své směrnici na vypnutí bluetooth výslovně varovala i před Apple AirPods, přestože se na ně nevztahují objevené zranitelnosti Google Fast Pair ani čipů Airoha. Výzkumníci to potvrdili. Plošný zákaz včetně zařízení od Applu vysvětluje pragmatický přístup institucionálních politik, pro které je snazší přijmout konzervativní formulaci “všechna bluetooth zařízení” než zavádět technologicky specifická omezení.
Infografika | investigace.cz; vizualizace na základě promptu Josefa Šlerky pomocí NotebookLMMáme se bát?
Praktické riziko odposlechů přes bluetooth závisí na tom, kdo jste. Všechny zmíněné útoky vyžadují fyzickou blízkost — do deseti až čtrnácti metrů. Nástroje pro jejich provedení jsou ale veřejně dostupné na GitHubu a k útoku stačí běžný notebook.
Pro běžného spotřebitele je riziko nízké. Cílený odposlech náhodného kolemjdoucího nemá ekonomický smysl, existují jednodušší cesty — phishing, malware, napadení Wi-Fi.
Pro novináře, aktivisty nebo obchodní manažery je riziko střední. Útočník, který se opakovaně pohybuje ve vaší blízkosti — kolega, účastník konference, stálý návštěvník oblíbené kavárny —, může odposlech provést nenápadně.
Pro státní úředníky, diplomaty a zpravodajské důstojníky je riziko vysoké. Státy mají zdroje, trpělivost i schopnost zajistit fyzickou blízkost. Dánský utajený „konkrétní incident“ do tohoto scénáře přesně zapadá. Nicméně samotní výzkumníci z Leuvenu nemají žádnou informaci o tom, že by chyba byla již využita.
Chránit lidi, ne prostor
Dánské opatření překvapuje ještě jednou věcí. To, že je zařízení s bluetooth určité bezpečnostní riziko samo o sobě, jsme již viděli. Je proto zcela logické, že jeho vypnutí vyžadují bezpečnostní protokoly celé řady bezpečnostních složek. Vždy se to ale týká jeho používání v určitém prostoru.
Americké SCIF klasifikují bluetooth jako vysoce rizikové a říkají, že pro jejich provozování v zabezpečených prostorech musí být riziko sníženo na nízké. Jak, to ponechávají na konkrétních situacích. Český NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) vyžaduje deaktivaci bezdrátových technologií v utajovaných prostorách na všech stupních utajení včetně nejnižšího. Britská policie doporučuje vypnout bluetooth při protiteroristických operacích.
Jakmile ale člověk opustí zabezpečený prostor, může svá zařízení v klidu používat. V případě Dánska ale poprvé vidíme, že se zákaz vztahuje na jakékoli používání bluetooth při práci — ať v autě, doma, nebo na cestách. Žádná jiná země NATO ani Evropské unie podobné nařízení nemá.
A ke konci února 2026 v Dánsku směrnice stále platí.
Autor textu: Josef Šlerka
The post I sluchátka můžou poslouchat. Technologie bluetooth vás může připravit o bezpečí i o miliony appeared first on investigace.cz.
