Uno smartwatch comprato per sapere dove si trova un bambino può trasformarsi, se progettato male, nello strumento perfetto per seguirne gli spostamenti.
È quanto emerge da nuove ricerche sulla sicurezza dei dispositivi GPS per minori, prodotti spesso economici e commercializzati con marchi differenti ma collegati alle stesse infrastrutture online. I problemi scoperti permettevano in alcuni casi di localizzare l’orologio, intercettare audio, accedere alla fotocamera e modificare informazioni considerate fondamentali dai genitori.
Lo smartwatch da 30 dollari controllato a distanza
L’esperimento raccontato da WIRED è particolarmente efficace. Un giornalista ha indossato a New York uno smartwatch per bambini costato meno di 30 dollari, mentre i ricercatori Vangelis Stykas e Felipe Solferini ne seguivano gli spostamenti. Il dispositivo era prodotto da YiQingTeng Electronics e utilizzava l’ecosistema SETracker, alla base di numerosi orologi venduti con nomi commerciali differenti.
Durante il test i ricercatori sono riusciti a ottenere la posizione del dispositivo e, sfruttando le vulnerabilità individuate nell’infrastruttura, ad accedere a funzioni molto più invasive. WIRED racconta che è stato possibile usare microfono e fotocamera senza che chi indossava l’orologio ricevesse un evidente avvertimento, trasformando di fatto un prodotto per la sicurezza dei bambini in uno strumento potenziale di sorveglianza.
Il problema non riguardava soltanto un singolo modello. L’analisi presentata alla conferenza Black Hat ha preso in considerazione più di 70 smartwatch e localizzatori GPS. Oltre 30 dispositivi utilizzavano tecnologia e server legati a YiQingTeng, conosciuta anche come Wonlex, mentre molte altre marche dipendevano da piattaforme come NewGPS2012 e SinoTrack. Dietro prodotti apparentemente diversi può quindi esserci la stessa infrastruttura.
Genitori alle prese con rischi e vulnerabilità – Melablog.it
Posizione falsa, contatti cambiati e messaggi intercettati
Le conseguenze possono andare oltre il semplice tracciamento. Nei sistemi analizzati era possibile, a seconda della piattaforma, alterare la posizione GPS, intervenire sui numeri di emergenza e accedere a comunicazioni o funzioni remote. Per un genitore significa rischiare di vedere sull’app una posizione che non corrisponde a quella reale oppure affidarsi a contatti di sicurezza che sono stati modificati.
Dopo la segnalazione, SETracker ha dichiarato a WIRED che la vulnerabilità individuata era stata corretta completamente. La situazione appariva diversa per SinoTrack e NewGPS2012: le società non avevano risposto alle richieste della testata e, al momento della pubblicazione, i ricercatori sostenevano che alcune delle tecniche utilizzate continuassero a funzionare. È quindi importante evitare di considerare vulnerabile automaticamente qualsiasi smartwatch per bambini.
Il precedente Xplora e cosa possono fare i genitori
Un altro campanello d’allarme arriva dall’Europa. Un gruppo della TU Darmstadt aveva analizzato lo Xplora X6 Play scoprendo che l’estrazione di una chiave da un singolo dispositivo poteva consentire un accesso molto esteso agli orologi dello stesso tipo. Nei test erano leggibili chat, immagini e messaggi vocali ed era possibile inviare comunicazioni fingendo che provenissero dal bambino o alterarne la posizione.
Le vulnerabilità furono comunicate a Xplora nel maggio 2025. Dopo alcuni interventi che secondo i ricercatori non risolvevano inizialmente il problema alla radice, l’azienda annunciò un aggiornamento di sicurezza più ampio. Il caso dimostra quanto sia difficile per un genitore valutare dall’esterno la protezione di un prodotto che gestisce dati estremamente sensibili.
La precauzione più utile è quindi mantenere sempre firmware e app aggiornati, evitare dispositivi senza un produttore chiaramente identificabile e controllare se esistono analisi indipendenti sulla loro sicurezza. Anche password robuste e account protetti aiutano, ma non possono compensare falle presenti nei server del produttore. Quando un orologio conosce continuamente la posizione di un bambino, la sicurezza informatica non è una funzione accessoria: è parte essenziale del prodotto.
