Hacker sfruttano un orologio per bambini per seguire e spiare un reporter
Un ricercatore di sicurezza ha sfruttato un orologio smartwatch per bambini per seguire e spiare un reporter di WIRED, rivelando vulnerabilità diffuse in dispositivi GPS.
A New York, il 6 agosto 2026, un ricercatore di sicurezza ha utilizzato un orologio smartwatch per bambini per seguire e spiare un reporter di WIRED, mettendo in luce gravi vulnerabilità nei dispositivi GPS. L’evento ha avvenuto mentre il reporter si dirigeva in ufficio, e il ricercatore, Vangelis Stykas, ha sfruttato le debolezze del dispositivo per monitorare la sua posizione, scattare foto e registrare audio senza che lui ne fosse a conoscenza. L’incidente ha suscitato preoccupazioni su come dispositivi di tracciamento possano essere sfruttati da attori malintenzionati per spionaggio o stalking.
Vulnerabilità in dispositivi di tracciamento
Il dispositivo utilizzato nel caso è un orologio smartwatch per bambini prodotto da un’azienda poco conosciuta, CJC, in Cina. L’orologio, venduto a meno di 30 dollari, è stato prodotto da YiQingTeng Electronics, un’azienda di Shenzhen. I ricercatori Stykas e Felipe Solferini hanno scoperto che il dispositivo, basato su una piattaforma chiamata SETracker, è vulnerabile a diversi tipi di attacchi. In particolare, hanno rivelato che un difetto di autenticazione permette a chiunque di inviare comandi a qualsiasi dispositivo SETracker, rendendo possibile il controllo remoto del dispositivo o il furto di dati sensibili.
La vulnerabilità non è limitata a un singolo produttore.
Secondo i ricercatori, la piattaforma SETracker è utilizzata da decine di marchi diversi, tra cui “SafeKid” e “SaveFamily”, che trasmettono i dati dei bambini a un backend vulnerabile in Cina. I dati vengono inviati a un server di Alibaba Cloud, dove possono essere accessi da terzi. I ricercatori hanno anche scoperto che diversi altri fornitori di dispositivi GPS, come SinoTrack e NewGPS2012, presentano vulnerabilità simili, con conseguenze potenzialmente gravi per la privacy e la sicurezza dei bambini e dei veicoli.
Un sistema di tracciamento globale
La ricerca ha rivelato che decine di milioni di dispositivi GPS, tra cui orologi per bambini e accessori per veicoli, provengono da tre catene di fornitura principali. Ogni piattaforma ha difetti di sicurezza significativi, alcuni dei quali sono semplici mancanze di autenticazione. Questi errori permettono a un hacker di seguire una persona, disattivare il tracciamento, modificare messaggi o registrare audio e video. I ricercatori hanno anche scoperto che alcuni server sono stati compromessi in passato, suggerendo che altri utenti non autorizzati potrebbero aver accesso ai dati.
La diversità dei marchi non è un’alternativa alla sicurezza.
Nonostante la varietà di marchi e modelli, i ricercatori sostengono che la scelta apparente di un prodotto sicuro è spesso illusoria. Molti dispositivi utilizzano lo stesso backend, e i consumatori non hanno modo di sapere a quale piattaforma appartengono i loro dispositivi. I ricercatori hanno condiviso i loro risultati con le aziende coinvolte, ma in molti casi i difetti non sono stati corretti. Anche dopo aver condiviso i dettagli, alcuni sistemi continuano a essere vulnerabili, lasciando i dati dei bambini e dei veicoli esposti a rischi.
Le vulnerabilità dei dispositivi GPS sono state segnalate da esperti di sicurezza e attivisti per la privacy da oltre un decennio. Tuttavia, i consumatori continuano a acquistare dispositivi economici, spesso senza rendersi conto dei rischi. I ricercatori Stykas e Solferini hanno già segnalato problemi simili nel 2018, quando hanno rivelato una serie di vulnerabilità in dispositivi GPS, chiamate Trackmageddon. Altri studi, come quelli condotti dall’Università di Münster, hanno trovato gravi difetti in diversi orologi per bambini. Nonostante le segnalazioni, le aziende spesso ignorano i problemi, lasciando i dispositivi esposti a attacchi.