Miljarden apparaten zijn kwetsbaar door een nieuwe Bluetooth-aanval genaamd BlueBorne, zo stellen onderzoekers van securitybedrijf Armis. Volgens de onderzoekers zijn er naar schatting 5,3 miljard apparaten die kwetsbaar zijn. Het gaat om laptops, desktops, smartphones, tablets en IoT-apparaten.

De BlueBorne-aanval bestaat uit acht kwetsbaarheden in de Bluetooth-implementaties van Android, Windows, Linux en iOS. Drie van de beveiligingslekken zijn als ernstig aangemerkt. Om de aanval uit te voeren is het niet nodig dat het aangevallen apparaat met het apparaat van de aanvaller is gepaird of in de 'discoverable mode' staat. Alleen Bluetooth ingeschakeld hebben staan is voldoende om te worden aangevallen en de aanval kan binnen 10 seconden worden uitgevoerd. Er is geen interactie van het slachtoffer vereist.

De aanval is mogelijk omdat Bluetooth-apparaten continu naar inkomende verbindingen zoeken, ook van apparaten waarmee ze niet zijn gepaird. Zodoende kan er een Bluetooth-verbinding zonder het pairen van de apparaten worden opgezet. Zodra de aanvaller het mac-adres van het aan te vallen apparaat heeft verkregen kan de kwetsbare Bluetooth-implementatie worden aangevallen. Zo kan een aanvaller bijvoorbeeld een man-in-the-middle-aanval uitvoeren en de communicatie van het apparaat controleren of het apparaat volledig overnemen.

Google en Microsoft werden op 19 april van dit jaar ingelicht. Updates voor Android verschenen op 4 september, terwijl Microsoft vanavond met updates voor Windows komt. Alle Windowsversies sinds Vista zijn kwetsbaar. In het geval van Apple is het probleem met iOS 10 al verholpen. Updates voor Linux zullen vandaag of de komende dagen verschijnen. In het geval er geen updates voor een Bluetooth-apparaat beschikbaar zijn wordt aangeraden Bluetooth uit te schakelen. Dit speelt met name bij Android-toestellen, waar een groot aantal apparaten geen updates meer van de leverancier ontvangt. Voor Android-gebruikers heeft Armis een app ontwikkeld die scant of het toestel kwetsbaar is.