Zegarek GPS Państwa dziecka informuje wszystkich o tym, gdzie się znajduje

Zegarek na nadgarstku ma zapewnić spokój ducha. Rodzice widzą na mapie, gdzie znajduje się ich dziecko, a w sytuacji zagrożenia dziecko naciska przycisk. Podczas konferencji poświęconej bezpieczeństwu DEF CON 34, która odbyła się 8 sierpnia, Felipe Solferini i Vangelis Stykas wykazali, że te same zegarki mogą działać zupełnie odwrotnie. Jak sami twierdzą, przejęli kontrolę nad milionami urządzeń: odczytywali i fałszowali lokalizację, przechwytywali wiadomości tekstowe i głosowe, potajemnie podsłuchiwali oraz uruchamiali aparat. Na zegarku nie było widać żadnego śladu tych działań.

Najciekawsza jest nie liczba urządzeń. Znajduje się ona na jednym slajdzie prezentacji.

Trzy serwery, dziesiątki marek

Obaj badacze nie rozmontowali ani jednego urządzenia. Skupili się na platformach stojących za nimi, czyli na serwerach, z którymi zegarki się łączą i od których otrzymują polecenia. Są trzy takie serwery, a wszystkie trzy pochodzą z tego samego łańcucha dostaw w Shenzhen: SETracker z około dziesięcioma milionami zegarków dla dzieci, SinoTrack z ponad sześcioma milionami urządzeń śledzących do pojazdów oraz TKSTAR – znany również, w zależności od źródła, pod nazwą Thinkrace – z ponad dwudziestoma milionami urządzeń.

Zgodnie z prezentacją za SETracker stoi firma o nazwie YQT, działająca również pod nazwą 3G Electronics. Dane są przechowywane w chmurze Alibaba Cloud w Chinach. 46 aplikacji, 39 marek, ponad dwadzieścia krajów – wszystko to skierowane do dzieci w wieku od trzech do dwunastu lat.

Jeden ze slajdów nosi tytuł „39 marek, jeden serwer” i wymienia następujące nazwy: Wonlex, SaveFamily, KidiWatch, Garett Kids, Carneo Guard, Osmile, Kuus, Beafon i inne. Obok znajduje się najostrzejsza uwaga całej prezentacji. Jak piszą badacze, przejście od marki Wonlex do SaveFamily sprowadza się jedynie do zmiany naklejki.

Dowód znajduje się w Sklepie Play

Może Pan/Pani to sprawdzić samodzielnie, nie jest do tego wymagana żadna specjalistyczna wiedza. Każda aplikacja na Androida posiada techniczną nazwę pakietu, która pojawia się w pasku adresu Sklepu Play. W przypadku zegarka Garett brzmi ona com.tgelec.garetts, a w przypadku KidiWatch – com.tgelec.kidiwatch.

W przypadku Beafon brzmi ona com.tgelec.beafon. Beafon to austriacki producent, którego zegarki dla dzieci są również sprzedawane na Amazonie. Na własnej stronie produktu reklamowana jest aplikacja „bea-fon Watch App”. W Sklepie Play ta sama aplikacja działa pod etykietą tej samej platformy, z której korzystają również bezmarkowe, niedrogie zegarki, ocenione na 2,9 na 5 w 57 recenzjach.

Dla rodziców oznacza to, że etykieta na półce nie decyduje o tym, gdzie trafiają dane dotyczące lokalizacji dziecka. Żadna informacja w opisie produktu nie wskazuje, jakiej aplikacji wymaga zegarek, a tym samym z jakim serwerem się łączy. W serwisie Amazon Niemcy wyszukiwanie przeprowadzone 12 sierpnia dało 249 wyników dotyczących smartwatchy dla dzieci, z których większość występowała pod wymyślonymi nazwami bez możliwości zidentyfikowania producenta.

Dlaczego znak CE nie ma tu żadnego znaczenia

Każdy z tych zegarków posiada oznaczenie CE. Badacze zwracają uwagę, że obejmuje ono sam sprzęt, a nie bezpieczeństwo serwera, z którym jest on połączony. I tu sprawa staje się interesująca. Od 1 sierpnia 2025 r. zasada „prywatności od samego początku” (privacy by design) stanowi wymóg dostępu do rynku zgodnie z art. 3 ust. 3 lit. e) unijnej dyrektywy w sprawie urządzeń radiowych. Urządzenie, w którym jeden klucz umożliwia dostęp do wszystkich urządzeń, nie spełnia tego wymogu. Nie odnotowano ani jednego przypadku, w którym zegarek zostałby wycofany z rynku z tego powodu.

Niemcy wprowadzili zakaz dotyczący czegoś innego już w 2017 r.: zegarków dla dzieci wyposażonych w funkcję podsłuchu. Federalna Agencja Sieciowa stwierdza w swoich wytycznych z lipca 2024 r., że zegarki dla dzieci z funkcją podsłuchu stanowią sprzęt telekomunikacyjny objęty zakazem zgodnie z § 8 ust. 1 niemieckiej ustawy o telekomunikacji, usługach cyfrowych i ochronie danych. Funkcję tę można rozpoznać po takich określeniach, jak „monitorowanie głosu” lub „tryb niani elektronicznej”, albo po tym, że aplikacja prosi o podanie numeru monitora. Samo śledzenie lokalizacji agencja wyraźnie zalicza do funkcji dozwolonych.

Kary są nieproporcjonalne. Produkcja takiego sprzętu lub wprowadzanie go do obrotu stanowi przestępstwo zagrożone karą do dwóch lat pozbawienia wolności. Reklamowanie funkcji podsłuchowej stanowi wykroczenie administracyjne, za które grozi grzywna w wysokości do 10 000 euro. Samo posiadanie i import takich urządzeń są również zabronione, ale nie wiążą się z żadną karą. W praktyce agencja nakazuje osobom zniszczenie urządzenia.

Co mogą teraz zrobić rodzice

Pierwszy krok nic nie kosztuje. Proszę sprawdzić nazwę aplikacji sterującej zegarkiem, a następnie odnaleźć nazwę pakietu w sklepie Play Store. Jeśli widnieje tam com.tgelec lub jeśli aplikacja nosi nazwę SeTracker lub SeTracker2, oznacza to, że zegarek znajduje się na jednej z platform objętych kontrolą.

Drugi krok dotyczy danych już tam przechowywanych. Numery kontaktowe, zdjęcia i wiadomości głosowe znajdują się na serwerze, a nie w samym zegarku. Wycofanie urządzenia oznacza usunięcie konta w aplikacji, a nie tylko odłożenie zegarka do szuflady.

Nie pomaga zmiana marki w ramach tej samej listy. Nie pomaga również czekanie. Firma Wonlex opublikowała 10 sierpnia wpis na blogu, w którym opisano trzy usunięte luki wykryte podczas „wewnętrznego audytu bezpieczeństwa”. W tekście tym nie pojawiają się nigdzie badacze, ani konferencje Black Hat i DEF CON. Według badaczy firmy SinoTrack i Thinkrace w ogóle nie udzieliły odpowiedzi.

Istnieją zegarki z własnym zapleczem serwerowym. Firmy Xplora, Anio i Vidimensio obsługują własne serwery. Nie oznacza to jednak całkowitego bezpieczeństwa: w przypadku firmy Xplora Uniwersytet Techniczny w Darmstadt wykazał pod koniec grudnia, że klucz pobrany z jednego zegarka umożliwiał odblokowanie każdego zegarka tego samego typu.

Pozostaje kwestia liczb. Liczba 36 milionów stanowi szacunek naukowców, który nie został niezależnie zweryfikowany, a na jednym z ich własnych slajdów w tym samym miejscu podano liczbę 26 milionów. Zgłoszone 45 luk w zabezpieczeniach zostało, zgodnie z ich własnymi informacjami, zarejestrowanych, jednak nie opublikowano żadnej listy. Jedyną rzeczą, której nikt nie musi szacować, jest nazwa pakietu w Sklepie Play. Jest ona podana wprost.