便宜的儿童智能手表暴露了5 000多个孩子的位置

一款售价35美元的中国制造的儿童智能手表被曝光,其中有5,000多名儿童及其父母的个人详细信息和位置信息。

在由AV-TEST的物联网测试部门今天发布的一份报告中,研究人员说,他们发现采取了令人震惊的安全措施来保护中国公司SMA制造的M2智能手表的后端和移动应用程序。

AV-TEST首席执行官兼技术总监Maik Morgenstern表示:“中国SMA-WATCH-M2迄今为止在其他制造商的安全性故障中名列前茅。”该团队一直在测试儿童智能手表超过两年。

M2智能手表及其安全漏洞

SMA W2儿童智能手表已经问世多年了。它旨在与配套的移动应用程序一起使用。父母会在SMA服务上注册一个帐户,将孩子的智能手表与手机配对,然后使用该应用程序跟踪孩子的位置,进行语音通话或在孩子离开指定区域时获得通知。

这个概念并不新鲜,因为市场上有很多类似的产品,价格从30美元到200-300美元不等。但是,Morgenstern建议SMA创造了市场上最不安全的产品之一。

首先,Morgenstern说,任何人都可以通过可公开访问的Web API查询智能手表的后端。这是移动应用程序还连接以检索其在父母手机上显示的数据的后端。

Morgenstern说,应该有一个身份验证令牌来防止未经授权的访问,但是由于服务器从不验证其有效性,因此攻击者可以提供他们喜欢的任何令牌。

攻击者可以连接到该Web API,循环浏览所有用户ID,并收集所有孩子及其父母的数据。

Morgenstern说,使用这种技术,他的团队能够识别出5,000多名M2智能手表佩戴者和10,000多名家长帐户。

大多数孩子都分布在整个欧洲,分布在荷兰,波兰,土耳其,德国,西班牙和比利时等国家,但AV-TEST首席执行官表示,他们还在中国,香港和墨西哥发现了活跃的智能手表。

通过此Web API公开的数据包括孩子的当前地理位置,设备类型和SIM卡IMEI。

此外,第二个漏洞允许访问更多更令人毛骨悚然的功能。Morgenstern说,安装在父母手机上的移动应用程序也很不安全。

攻击者可以将其安装在自己的设备上,在应用程序的主配置文件中更改用户ID,并将其智能手机与孩子的智能手表配对,而无需输入父帐户的电子邮件地址或密码。

攻击者将智能手机与孩子的智能手表配对后,他们便可以使用该应用程序的功能通过地图跟踪孩子,甚至可以拨打电话并与孩子进行语音聊天。

更糟糕的是,攻击者可以在给孩子错误的指示时更改移动帐户的密码,并将父级锁定在应用程序之外。

手表仍在销售

Morgenstern表示,他们已将发现与SMA联系。他没有说怎么SMA反应,但只提到手表仍在通过该公司的网站,并通过其他分销商[售出1,2 ]。

Morgenstern说,德国分销商Pearl已在报告后上架了M2。

在本文发表之前,SMA没有返回置评请求。

AV-TEST首席执行官还联系了该国的网络安全机构联邦信息安全局(BSI)。如果手表具有远程监听功能,2017年BSI禁止在德国销售儿童智能手表。

今年2月初,欧盟因类似的安全漏洞而召回了两个儿童智能手表型号,这些安全漏洞使攻击者可以接触和/或跟踪儿童的位置。

相关推荐