En una semana lluviosa en Nueva York, un reportero de WIRED se puso en la muñeca un reloj inteligente para niños de plástico rosa y se dirigió al trabajo. Al acercarse a la estación de metro más cercana para ir a la oficina, envió un mensaje de texto a Vangelis Stykas, el investigador de seguridad griego que le había enviado el reloj a través de Amazon, para avisarle de que iba a entrar en la estación y que quizá perdiera la cobertura móvil.
"Lo sé", respondió Stykas.
De hecho, Stykas rastreó la ubicación del reportero a través del reloj desde el momento en que él salió de su departamento. La función de GPS del reloj, diseñada para que los padres pudieran seguir la ubicación de sus hijos, no funcionaba bien. Sin embargo, el dispositivo seguía detectando y enviando a un servidor remoto los identificadores de todas las redes WiFi cercanas, lo que permitió a Stykas determinar la ubicación exacta del reportero mientras caminaba por una cuadra de Brooklyn.
Cuando el reportero llegó a la sede de WIRED en Manhattan media hora después, Stykas activó una función del reloj que le permitió tomar una foto silenciosamente con su cámara, capturando el momento en que el reportero entró en un ascensor. Unos minutos después, tomó otra foto del reportero en su escritorio y luego usó otra función para captar el audio del micrófono del reloj, transmitiéndolo a otro investigador, Felipe Solferini, quien escuchó al compañero de trabajo del reportero describir su visita de fin de semana a una exposición de arte. En ningún momento el reloj mostró señal alguna de estar escuchando, tomando fotos o siendo hackeado.
El espionaje en un reloj barato era de esperarse
Lo comercializa una empresa poco conocida llamada CJC, cuesta menos de 30 dólares y fue fabricado en Shenzhen, China, por YiQingTeng Electronics, un fabricante igualmente desconocido. Quizá lo más preocupante sea que la plataforma en línea en la que se basa el reloj, y que permitió a Stykas y Solferini hackearlo a fondo, también la usan decenas de otras marcas de relojes inteligentes, muchas de las cuales probablemente estén expuestas a las mismas formas de acoso digital.
En la conferencia de ciberseguridad Black Hat, Stykas y Solferini presentaron los resultados de su análisis de la cadena de suministro y la seguridad de más de 70 relojes y accesorios para automóviles con GPS. Descubrieron que más de 30 de estos dispositivos de geolocalización utilizan la tecnología y los servidores de YiQingTeng, empresa también conocida como Wonlex y vinculada a Shenzhen 3G Electronics y a la aplicación SETracker. Otras 30 marcas de dispositivos de rastreo para automóviles y niños funcionan con otra plataforma con sede en Shenzhen, llamada NewGPS2012.
Si a esto se suma otra importante plataforma de GPS, SinoTrack, que comercializa localizadores para automóviles y relojes inteligentes, los dos investigadores descubrieron que decenas de millones de dispositivos de localización por GPS procedían de solo tres cadenas de suministro. Según su análisis, las tres presentaban graves fallos de seguridad. En algunos casos, eran tan básicos como la ausencia de autenticación, lo que permitía a cualquiera acceder a cualquier dispositivo. Estas vulnerabilidades dejaban los relojes infantiles expuestos a que un hacker pudiera rastrearlos, desactivarlos o falsear su ubicación; interceptar y suplantar mensajes de texto y audio; sustituir los contactos de emergencia por otros de su elección; escuchar a escondidas; e incluso capturar fotos y videos en los dispositivos equipados con cámara.
Una vez que el GPS del smartwatch probado por WIRED empezó a funcionar, los investigadores demostraron que esa función también podía ser secuestrada para seguir cada movimiento de la persona que lo llevaba.
