Imagine estar usando seus fones Bluetooth normalmente em:
um aeroporto;
ônibus;
escritório;
universidade;
cafeteria.
Uma pessoa próxima encontra seus fones pelo Bluetooth.
Solicita conexão.
Você não confirma nada.
Não pressiona botão.
Não coloca os fones em modo de pareamento.
Não fornece PIN.
Mesmo assim:
o dispositivo dela consegue ser pareado aos seus fones.
Esse é o problema identificado nos Skullcandy Dime 3, modelo S2DCW, e divulgado pelo CERT Coordination Center — CERT/CC — da Carnegie Mellon University.
A vulnerabilidade está relacionada ao:
CVE-2025-20701
e afeta especificamente os Dime 3 testados com firmware:
1.0.0.28.
A falha está no Bluetooth Audio SDK da Airoha Technology, fornecedora do chipset e da tecnologia utilizada para comunicação Bluetooth no dispositivo.
E as consequências podem ir além de alguém simplesmente:
tocar música nos seus fones.
O comportamento normal deveria exigir autorização
A própria documentação oficial dos Dime 3 mostra como o processo deveria funcionar.
Para adicionar um dispositivo, os fones normalmente precisam estar em:
Pairing Mode.
O proprietário mantém o botão pressionado por alguns segundos.
Os LEDs começam a piscar.
O dispositivo procura:
“Dime 3”.
E o usuário confirma a solicitação de pareamento.
Essa interação existe justamente para estabelecer:
consentimento.
A vulnerabilidade quebra essa lógica
Nos aparelhos afetados, um dispositivo Bluetooth próximo pode enviar diretamente uma solicitação de pareamento para o endereço Bluetooth dos fones.
O Dime 3 aceita.
Sem:
PIN;
passkey;
confirmação física;
botão pressionado;
acesso ao estojo;
aprovação prévia do proprietário.
E, principalmente:
sem que o dono tenha colocado os fones em modo de pareamento.
O ataque exige proximidade física
Essa limitação é importante.
Não estamos falando de alguém em outro país invadindo seus fones pela internet.
O atacante precisa estar dentro do:
alcance do Bluetooth.
A própria Skullcandy informa alcance de aproximadamente:
10 metros ou mais
para os Dime 3, embora isso possa variar conforme obstáculos, interferência e ambiente.
Portanto, o cenário de risco é principalmente:
local.
Isso torna locais públicos especialmente interessantes
Imagine:
aeroporto;
metrô;
ônibus;
academia;
escritório;
coworking;
cafeteria;
universidade;
evento.
Existem dezenas ou centenas de pessoas próximas.
Um atacante não precisa tocar fisicamente nos fones.
Precisa estar:
suficientemente perto.
Depois do pareamento, o dispositivo passa a ser confiável
Essa é uma das partes mais preocupantes.
O ataque não cria apenas uma conexão temporária.
Depois que o processo de bonding é concluído, o dispositivo malicioso pode ser armazenado pelos fones como:
dispositivo confiável.
Isso significa que ele pode tentar:
reconectar automaticamente
quando voltar a ficar dentro do alcance.
O ataque deixa, portanto, uma espécie de relacionamento Bluetooth persistente.
O proprietário recebe um aviso — tarde demais
Segundo o CERT/CC, os fones podem reproduzir uma mensagem sonora indicando:
“New device paired”.
Isso poderia alertar o usuário de que algo estranho aconteceu.
O problema é o momento.
A notificação ocorre:
depois que o pareamento já foi concluído.
Ela não funciona como uma pergunta:
“Você autoriza?”
Funciona mais como:
“isso acabou de acontecer.”
O atacante pode sequestrar a sessão de áudio
Depois de estabelecer a conexão, o dispositivo malicioso consegue abrir o transporte de áudio Bluetooth A2DP.
Isso pode:
interromper a conexão ou reprodução utilizada pelo proprietário.
Na prática, um usuário pode perceber:
áudio parando;
conexão mudando;
comportamento estranho.
Mas talvez interprete isso simplesmente como:
uma falha comum do Bluetooth.
E esse detalhe torna o problema ainda mais traiçoeiro.
O microfone também entra na história
O CERT/CC verificou que o dispositivo conectado pode acessar os perfis:
Hands-Free/Headset.
Esses perfis são utilizados para recursos como:
ligações;
comunicação por voz;
microfone.
Com isso, um atacante conectado pode potencialmente:
capturar áudio ao vivo através do microfone dos fones.
É nesse ponto que uma vulnerabilidade aparentemente pequena em um acessório de áudio se transforma em:
problema de privacidade.
Um fone Bluetooth pode virar ponto de escuta
É importante não exagerar o cenário.
A falha não transforma automaticamente os Dime 3 em um equipamento de espionagem global.
O atacante precisa:
estar próximo;
conseguir realizar o pareamento;
manter ou recuperar conectividade Bluetooth.
Mas dentro dessas condições, o acesso ao microfone significa que a vulnerabilidade pode permitir:
escuta de áudio captado pelo headset.
Isso é muito mais grave do que simplesmente:
“alguém consegue conectar no meu fone.”
A falha está associada ao CVE-2025-20701
O problema não nasceu especificamente dentro da Skullcandy.
A vulnerabilidade está associada ao:
Airoha Bluetooth Audio SDK.
Airoha fornece chipsets e tecnologia Bluetooth utilizada por fabricantes de dispositivos de áudio.
O CVE descreve justamente uma condição em que dispositivos baseados nessa tecnologia podem permitir:
pareamento Bluetooth sem consentimento do usuário.
Isso significa que o problema de segurança existe em uma camada mais profunda da cadeia tecnológica.
Um produto aparentemente simples possui uma enorme cadeia de software
Quando alguém compra um fone Bluetooth, enxerga:
marca;
bateria;
alto-falante;
microfone.
Mas por dentro existe:
firmware;
chipset;
Bluetooth stack;
SDK;
perfis de áudio;
protocolos;
bibliotecas.
O fabricante final nem sempre desenvolve:
todas essas camadas.
Isso cria um problema conhecido em cibersegurança:
risco da cadeia de suprimentos.
Uma vulnerabilidade no fornecedor pode chegar ao consumidor final
Imagine que um SDK vulnerável seja utilizado por:
dez;
vinte;
cinquenta
fabricantes.
Uma única falha pode acabar presente em:
milhões de dispositivos diferentes.
Esse é um dos motivos pelos quais vulnerabilidades em componentes compartilhados são particularmente importantes.
No caso dos Dime 3, o CERT/CC confirmou o comportamento especificamente no:
modelo S2DCW com firmware 1.0.0.28.
Existe uma versão corrigida
A Skullcandy informou ao CERT/CC que considera o problema corrigido no firmware:
1.0.0.30.
Isso seria uma boa notícia.
Exceto por um detalhe enorme:
os usuários das unidades vulneráveis não conseguem simplesmente instalar essa atualização.
O Dime 3 não recebe atualização pelo aplicativo da Skullcandy
A própria documentação oficial informa que:
Dime 3 não possui suporte ao Skullcandy App.
Consequentemente, não existe dentro do aplicativo um botão para:
verificar firmware;
baixar atualização;
instalar correção.
Segundo o CERT/CC, até a publicação do alerta não havia método acessível ao consumidor para atualizar uma unidade existente de:
1.0.0.28 → 1.0.0.30.
Isso cria uma situação bastante incomum
O fabricante possui:
firmware corrigido.
Mas o consumidor que já possui o produto vulnerável pode não possuir:
um caminho para recebê-lo.
Em smartphones e computadores, estamos acostumados com:
Windows Update;
Android Update;
iOS Update;
atualizações automáticas.
Em acessórios Bluetooth baratos:
isso nem sempre existe.
E aí aparece um problema enorme da Internet das Coisas
Um produto conectado pode continuar funcionando durante:
anos.
Mas seu mecanismo de atualização talvez tenha sido pensado apenas para:
funcionalidade, não segurança.
Quando surge uma vulnerabilidade:
como corrigir milhões de unidades?
Sem atualização remota, as opções podem ser extremamente limitadas.
O produto físico continua bom — mas o software ficou vulnerável
Esse é um dos paradoxos dos dispositivos modernos.
O alto-falante funciona.
A bateria funciona.
O estojo funciona.
Os botões funcionam.
Mas uma falha no firmware pode transformar um produto fisicamente perfeito em:
um dispositivo com risco de segurança permanente.
É quase uma forma de:
obsolescência de segurança.
Isso será um problema cada vez maior
Hoje estamos falando de:
fones.
Mas o mesmo princípio vale para:
câmeras;
fechaduras;
TVs;
roteadores;
carros;
eletrodomésticos;
sensores;
brinquedos;
wearables.
Tudo que possui:
conectividade + software
precisa de:
estratégia de atualização.
“Tem Bluetooth” agora também significa “tem superfície de ataque”
Durante anos, consumidores avaliaram fones por:
qualidade sonora;
bateria;
conforto;
preço.
Mas um dispositivo Bluetooth também implementa:
protocolos;
autenticação;
serviços;
perfis;
firmware.
Isso significa que existe:
uma superfície de ataque digital.
Quanto mais funcionalidades:
maior pode ser essa superfície.
Multipoint aumenta a complexidade
Os Dime 3 oferecem:
Multipoint Pairing.
A função permite manter conexão com dois dispositivos.
Por exemplo:
notebook;
smartphone.
O usuário pode assistir a um vídeo no computador e receber uma ligação no telefone sem precisar refazer todo o pareamento.
É extremamente conveniente.
Mas gerenciamento de múltiplos dispositivos confiáveis exige que o processo de:
quem pode se tornar confiável
seja implementado corretamente.
Segurança e conveniência vivem em tensão constante
Usuários querem:
conexão rápida;
pareamento simples;
sem PIN;
sem menus;
sem complicação.
Mas cada etapa removida pode significar:
menos verificação.
Bluetooth moderno possui mecanismos para tornar o processo simples e seguro.
O problema aparece quando uma implementação aceita uma nova relação de confiança:
sem confirmar a intenção do proprietário.
Não significa que todo fone Bluetooth seja vulnerável
Essa distinção é essencial.
O alerta é específico para:
Skullcandy Dime 3 modelo S2DCW, firmware 1.0.0.28.
Não há base para concluir que:
todo produto Skullcandy;
todo fone Bluetooth;
todo dispositivo Airoha
possua exatamente o mesmo comportamento.
Vulnerabilidades precisam ser analisadas por:
modelo;
firmware;
implementação.
Também não significa invasão automática do celular
Outra interpretação que precisa ser evitada.
O atacante conseguir parear com:
os fones
não significa automaticamente que ele ganhou acesso completo ao:
smartphone;
fotos;
WhatsApp;
senhas;
arquivos.
O comprometimento descrito pelo CERT/CC ocorre no:
dispositivo Bluetooth de áudio.
O risco confirmado envolve principalmente:
conexão não autorizada;
sequestro da sessão de áudio;
acesso ao microfone através dos perfis Bluetooth expostos.
Isso já é grave o suficiente
Não é necessário transformar a vulnerabilidade em algo que ela não é.
Se um desconhecido consegue:
adicionar seu dispositivo como confiável;
interromper seu áudio;
reconectar posteriormente;
acessar o microfone,
já existe um problema significativo de:
privacidade e controle.
Como saber se meu Dime 3 está vulnerável?
O alerta do CERT/CC identifica como afetada a versão:
1.0.0.28.
A versão considerada corrigida pela Skullcandy é:
1.0.0.30.
O problema prático é que os Dime 3 não possuem integração com o aplicativo oficial para permitir que o consumidor simplesmente consulte e atualize o firmware da mesma forma que faria com outros produtos conectados.
Isso limita bastante:
as opções do usuário.
O que proprietários podem fazer?
Como atualmente não existe um método público e acessível para instalar a correção nas unidades vulneráveis, não há uma solução simples de software disponível ao consumidor.
Por isso, usuários devem ter cautela principalmente ao utilizar os fones em:
locais públicos;
ambientes lotados;
locais onde conversas sensíveis estejam ocorrendo.
Se os fones emitirem inesperadamente a mensagem:
“New device paired”
sem que você tenha iniciado um novo pareamento:
trate isso como um sinal de alerta.
Resetar a lista de dispositivos pode ajudar depois de uma conexão suspeita
A Skullcandy disponibiliza um procedimento para:
resetar os Dime 3 e limpar a lista de dispositivos pareados.
Isso pode remover dispositivos que tenham sido adicionados.
Mas existe uma diferença fundamental:
reset não corrige a vulnerabilidade do firmware.
Se o aparelho continua no firmware vulnerável, um atacante próximo pode tentar:
parear novamente.
Portanto, resetar é uma resposta a uma possível conexão indevida:
não uma correção definitiva.
Desligar e guardar os fones reduz a exposição quando não estão sendo utilizados
Como o ataque depende de:
proximidade
e:
conectividade Bluetooth ativa,
um dispositivo desligado e guardado no estojo possui uma superfície de exposição muito menor naquele momento.
Também é prudente evitar utilizar unidades potencialmente vulneráveis durante:
reuniões confidenciais;
conversas empresariais sensíveis;
discussões jurídicas;
situações em que o microfone represente risco relevante.
Empresas precisam pensar nisso de outra forma
Para um consumidor, fones são:
acessório.
Para uma empresa, podem ser:
endpoint.
Executivos utilizam fones durante:
reuniões;
ligações;
negociações;
conversas estratégicas.
Se um dispositivo de áudio possui vulnerabilidade que permite acesso ao microfone, ele passa a fazer parte:
do modelo de ameaça da organização.
BYOD não termina no notebook
Empresas falam muito sobre:
Bring Your Own Device.
Normalmente pensando em:
smartphones;
notebooks.
Mas funcionários também levam:
headsets;
smartwatches;
teclados;
mouses;
wearables.
Todos podem possuir:
firmware;
Bluetooth;
Wi-Fi;
microfone;
sensores.
A superfície corporativa é muito maior do que parece.
A descoberta também mostra a importância da pesquisa independente
O problema foi reportado por:
Jacob Nowak.
O CERT/CC, ligado ao Software Engineering Institute da Carnegie Mellon University, coordenou a divulgação e publicou o alerta em:
8 de setembro de 2026.
Esse tipo de pesquisa permite que vulnerabilidades em produtos aparentemente comuns sejam identificadas antes que permaneçam silenciosamente desconhecidas durante anos.
Existe uma pergunta incômoda para toda a indústria
Se uma empresa vende um dispositivo conectado:
por quanto tempo precisa conseguir atualizá-lo?
Um ano?
Três?
Cinco?
Durante toda a vida útil?
Essa discussão já existe para:
smartphones;
carros;
roteadores.
Vai crescer para:
praticamente todo eletrônico conectado.
Porque firmware virou parte do produto
Quando alguém compra um fone em 2026, não está comprando apenas:
plástico;
bateria;
alto-falante.
Está comprando também:
software.
E software possui bugs.
Se existe software:
precisa existir um plano para:
corrigi-lo.
A parte mais preocupante do caso não é apenas a vulnerabilidade
Falhas aparecem em praticamente todos os fabricantes.
O aspecto especialmente problemático aqui é:
existir uma correção, mas o proprietário da unidade vulnerável não ter um caminho acessível para instalá-la.
Isso transforma uma vulnerabilidade corrigível em laboratório em um problema persistente:
na casa e no bolso do consumidor.
O caso Skullcandy é um aviso para todo o mercado de dispositivos conectados
Não basta lançar:
Bluetooth 5.3;
Multipoint;
assistente de voz;
20 horas de bateria.
Também é necessário responder:
como o firmware será atualizado?
Quem mantém o software?
Por quanto tempo?
O consumidor consegue instalar correções críticas?
Porque, em um mundo onde até um pequeno fone possui:
processador;
software;
rádio;
microfone,
cibersegurança deixou de ser um recurso exclusivo de:
computadores.
Ela passou a fazer parte de:
praticamente tudo que ligamos.
E no caso dos Skullcandy Dime 3 vulneráveis, uma falha aparentemente simples no processo de pareamento mostra o tamanho dessa mudança:
um desconhecido suficientemente próximo pode estabelecer uma relação de confiança com os fones:
antes mesmo que o verdadeiro dono tenha oportunidade de dizer “não”.
