Los investigadores Vangelis Stykas y Felipe Solferini presentaron este miércoles en la conferencia Black Hat, en Las Vegas, los resultados de un análisis de la cadena de suministro de más de 70 relojes con GPS y accesorios para coches. El experimento se realizó sobre un smartwatch infantil de la marca CJC, fabricado por YiQingTeng Electronics en Shenzhen, con un coste inferior a 30 dólares. Stykas rastreó la ubicación de un reportero de WIRED desde el momento en que salió de su domicilio en Brooklyn, capturó fotografías de forma silenciosa cuando este llegaba a la redacción en Manhattan y llegó a escuchar, a través de otra persona, una conversación mantenida en la oficina.
Los investigadores identificaron que tres plataformas con sede en Shenzhen —SETracker, NewGPS2012 y SinoTrack— dan soporte a decenas de marcas de relojes infantiles y localizadores para vehículos, lo que supone decenas de millones de dispositivos vulnerables. Entre los fallos detectados figuran ausencia de autenticación, lo que permite a cualquier persona enviar comandos a los dispositivos, así como rastreo de localización, suplantación de mensajes de texto y audio, sustitución de contactos de emergencia, espionaje silencioso del micrófono y captura de fotos y vídeos. En algunos localizadores para coches, los fallos permitirían llegar a desbloquear o desactivar los vehículos.
Stykas y Solferini llevan meses advirtiendo a las tres compañías chinas. SETracker afirmó que los problemas se habían resuelto, aunque los investigadores siguieron logrando hackear dispositivos la misma semana de la conferencia. NewGPS2012 y SinoTrack no respondieron a las solicitudes de WIRED. Los autores subrayan que el modelo de marca blanca impide a los consumidores saber qué plataforma da soporte a su dispositivo, de modo que la misma vulnerabilidad en un servidor backend puede afectar simultáneamente a decenas de marcas.