AirDrop 同 Quick Share 爆近距離漏洞：公共場所開 Everyone 要諗清楚

件事其實係講乜

CISPA Helmholtz Center for Information Security 拆解 AirDrop 同 Quick Share 嘅近距離傳檔協議，搵到六個漏洞。研究估算影響範圍用 Apple 逾 22 億活躍裝置，加上 Google 逾 30 億 Android 裝置，所以你會見到「五十億部」呢個數。呢度要睇清楚：呢個數唔代表五十億部機一開就俾人偷相，亦唔代表所有 Android 廠都同一樣中招；研究實際睇過 Apple sharingd、Samsung Galaxy S23 Ultra 同 Google Quick Share for Windows。重點係攻擊面喺 10 至 30 米內已經開咗，唔使 phishing link、唔使同一個 Wi-Fi、唔使掂你部機。

圖片：Apple Support

點解香港場景特別啱中

呢類功能本來就係為咗順手：背景服務一見到附近裝置就醒，喺未完全確認對方身份之前，已經要處理一堆複雜格式。港鐵車廂、商場、展會、辦公室、學校，30 米唔係好遠，隨時覆蓋幾十部甚至過百部手機同 laptop。AirDrop 惡搞大家聽得多，但今次研究提醒嘅唔止係陌生人彈相咁低階，而係同一條近距離通道，本身已經係權限唔低、長期喺背景等附近裝置連入嘅服務。

圖片：Google Android Help

最壞未必係偷相，但唔細件

AirDrop 方向主要係 crash。Apple 個 sharingd 同時管 AirDrop、AirPlay、Handoff、Universal Clipboard 同 Continuity Camera；撞死一次，呢幾樣可以一齊停，攻擊者循環送 malformed request 就可以令服務一路起返又跌返。Quick Share 方向就麻煩啲：研究指 Samsung 嗰層服務有驗證前 frame bypass 同加密後 frame bypass；Google Quick Share for Windows 有 use-after-free。研究員只確認 crash，冇公開可用 exploit，所以唔好寫到似有人隔住車廂即刻接管你部手機。但係公司機、展會工作機、學校借用機呢類成日收檔嘅裝置，風險高過普通人一截。

修補狀態仲未乾淨

截至 2026 年 6 月 30 日，Help Net Security 向研究員確認：Apple 有一個 AirDrop 漏洞已修，已編 CVE，但 advisory 同 CVE 未公開；其餘 Apple 報告仲喺 coordinated disclosure。Google Quick Share for Windows 個 use-after-free fix 已入 codebase，公開 CVE 仲 pending；Samsung / Google 相關 Android 問題仲查緊。即係，更新 OS 同 Quick Share app 一定要做，但唔好假設今日撳咗更新就所有平台一齊清晒。

點設定先穩陣

用 iPhone 或 iPad，最簡單係入 Settings > General > AirDrop，平日揀 Contacts Only，唔收嘢就揀 Receiving Off。真係要同陌生人收檔，先短暫開 Everyone for 10 Minutes；Apple 官方話 iOS 16.2 或以上會十分鐘後自動轉返 Contacts Only，未登入 Apple Account 就轉去 Receiving Off，但我會建議收完即刻關，因為公共場所最唔抵係為咗一次傳圖，長期開住一個附近人都搵到嘅入口。

Android 就用 Settings 搜 Quick Share，喺 Who can share with you 揀 Your devices 或 Contacts；要收陌生裝置嘅檔案先開 Everyone for 10 minutes。Google 支援頁講明，留喺 Receive mode 時附近任何人都睇到你部機，所以收完檔要退出 Receive mode。Windows Quick Share 用戶要更新 client，唔常用就關接收；公司 laptop 要當佢係一個近距離入口去管。

公司同學校要管埋呢啲小功能

BYOD 最容易漏就係呢啲「方便」功能。IT 好多時盯住 email、VPN、MDM passcode，AirDrop / Quick Share 就當小功能放過；但今次研究指出，呢啲背景服務權限唔低，而且用戶未撳任何掣之前，已經可能要先處理陌生裝置送嚟嘅資料。展會 booth、課堂活動、shared office 呢類場景，幾十部機喺同一個空間，30 米基本上已經跨幾排位。受管 iPhone 可以限制 AirDrop；Android 同 Windows 最少要有更新節奏、收檔規則，同離開公共場景後關接收嘅習慣。

下一步睇咩

今次最要記住係：AirDrop、Quick Share 呢類近距離分享，唔再只係方便傳相咁簡單，而係一個長開嘅無線入口。普通人唔使恐慌，因為研究冇話攻擊者可以靜靜哋偷走你相簿；但喺港鐵、商場、展會、辦公室、學校呢啲地方，預設 Contacts Only，唔用就 Receiving Off / 退出 Receive mode，會係最抵做嘅安全設定。下一步要睇 Apple 同 Google 幾時公開餘下 CVE，同 Samsung / Android 端會點收窄驗證前嘅處理範圍。

參考來源

• Android Authority — AirDrop and Quick Share vulnerabilities could expose billions of devices — how to lock yours down — original report
• Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols — 原研究論文，交代六個漏洞、10 至 30 米威脅模型、五十億部估算同披露狀態。
• AirDrop and Quick Share vulnerabilities affect protocols on five billion devices as fixes begin — 訪問研究員，補充 Apple / Google 修補進度、CVE 未公開情況同 Quick Share Windows fix。
• How to use AirDrop on iPhone and iPad — Apple 官方 AirDrop 教學，確認 Contacts Only、Everyone for 10 Minutes 同 Receiving Off 行為。
• Use Quick Share on your Android device — Google 官方 Quick Share 教學，確認 Receive mode、Who can share with you 同 Everyone for 10 minutes 設定。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。