La respuesta corta es inquietante: en una demostración de seguridad, investigadores rastrearon al usuario de un reloj GPS infantil, tomaron fotografías y escucharon el audio de su micrófono sin que el dispositivo mostrara una señal evidente de intrusión. El resultado se limita al reloj probado y a las debilidades asociadas que fueron descritas; no demuestra que todos los relojes infantiles sean vulnerables.
Qué mostró la demostración
El dispositivo era un reloj vendido por CJC, fabricado por YiQingTeng Electronics en Shenzhen y vinculado al ecosistema SETracker. Durante la prueba, Vangelis Stykas y Felipe Solferini lograron seguir al usuario mediante identificadores de redes Wi-Fi cercanas cuando el GPS falló inicialmente. Cuando la función de posicionamiento volvió a funcionar, también pudieron utilizar la ubicación del propio reloj.
La demostración fue más allá del rastreo: los investigadores activaron la cámara para hacer fotografías y accedieron al micrófono para recibir audio sin una advertencia evidente en la pantalla o el dispositivo. En otras palabras, un producto pensado para que una familia sepa dónde está un menor podía convertirse, en determinadas condiciones, en un punto remoto de observación y escucha.
La demostración práctica ya había ocurrido cuando la investigación se preparaba para presentarse en Black Hat. Son dos momentos distintos: una cosa es el ataque observado sobre el reloj concreto y otra, la exposición pública de las conclusiones.
La infraestructura oculta tras muchas marcas
El detalle importante no está solo en el color o la marca que aparece en la caja. Muchos dispositivos económicos funcionan como productos de marca blanca: distintas marcas venden relojes aparentemente independientes, pero pueden apoyarse en el mismo backend, es decir, en los servidores y servicios que gestionan cuentas, localización, mensajes y órdenes remotas.
Los investigadores analizaron más de 70 relojes con GPS y accesorios para vehículos. En ese trabajo identificaron tres plataformas o cadenas de suministro relevantes: YiQingTeng/SETracker, NewGPS2012 y SinoTrack. El análisis vinculó la tecnología de YiQingTeng/SETracker con más de 30 dispositivos de geolocalización y relacionó NewGPS2012 con más de 30 marcas de dispositivos de seguimiento.
La consecuencia práctica es incómoda: una debilidad en un backend puede repetirse en productos que el comprador percibe como marcas distintas. Pero hay que mantener los pies en el suelo. Que un reloj utilice una de esas plataformas es un indicador de riesgo, no una prueba de que ese modelo concreto pueda ser comprometido.
Fallos técnicos y consecuencias
Los problemas descritos no son una única puerta trasera con un único efecto. Incluyen autenticación ausente, inyección SQL —una técnica que aprovecha entradas mal protegidas para manipular consultas a una base de datos—, suplantación de mensajes, manipulación de ubicaciones y acceso no autorizado a funciones del dispositivo.
| Plataforma o ecosistema | Alcance de dispositivos descrito | Debilidad técnica reportada | Consecuencia reportada |
| YiQingTeng/SETracker | Más de 30 dispositivos de geolocalización analizados | Autenticación ausente y acceso no autorizado a funciones | En el reloj probado, seguimiento, fotografías remotas y acceso al micrófono |
| NewGPS2012 | Más de 30 marcas de dispositivos de seguimiento | Inyección SQL y posibilidad de ejecutar código en servidores | Manipulación de servicios y acceso indebido a funciones de seguimiento |
| SinoTrack | Plataforma asociada a relojes y localizadores de vehículos | Inyección SQL y abuso de cuentas de demostración | Exposición reportada de ubicaciones, contraseñas y registros de vehículos |
El patrón explica por qué el problema puede ser mayor que un fallo aislado en una aplicación. Si el servidor no comprueba correctamente quién puede enviar una orden, el atacante no necesita tener el reloj en la mano para intentar modificar datos o activar funciones. La cámara y el micrófono son el ejemplo más delicado, pero la manipulación de mensajes, contactos de emergencia o ubicaciones también puede alterar la confianza que una familia deposita en el dispositivo.
Lo que sí y lo que no se puede afirmar
Sí se puede afirmar que el reloj probado fue utilizado para rastrear a su usuario, capturar imágenes y transmitir audio durante la demostración descrita. También se puede afirmar que los investigadores encontraron varias clases de debilidades en las plataformas estudiadas.
No se puede convertir ese resultado en una acusación contra todos los relojes infantiles, todas las marcas asociadas o todos los dispositivos que usan SETracker, NewGPS2012 o SinoTrack. La asociación con una infraestructura compartida no confirma por sí sola que cada producto tenga exactamente el mismo fallo o siga siendo explotable.
SETracker afirmó que había bloqueado puertos utilizados por una versión antigua del cliente y que la vulnerabilidad había sido corregida. Esa es la posición de la compañía sobre su respuesta; no equivale a demostrar que todos los modelos, versiones de cliente y servicios relacionados hayan quedado cubiertos. En el caso de SinoTrack y NewGPS2012, la investigación describió técnicas que parecían funcionar en el momento de sus pruebas, pero ese resultado está ligado a aquel momento y no permite convertirlo en un estado permanente.
Un problema que no aparece por primera vez
La categoría ya arrastra antecedentes. En un caso anterior relacionado con MiSafes, se describieron exposiciones de datos personales, ubicaciones y comunicaciones, además de funciones de escucha remota y llamadas suplantadas para que parecieran proceder de un progenitor.
El patrón también apareció en un estudio de 2020 asociado a Münster University of Applied Sciences: cinco de los seis relojes infantiles analizados presentaban vulnerabilidades graves. Eso no demuestra que todos los productos actuales compartan los mismos defectos, pero sí muestra que la seguridad no puede darse por supuesta solo porque un reloj incluya GPS, llamadas o una aplicación familiar.
Qué conviene revisar antes de comprar
No hay una etiqueta externa que permita saber con certeza qué backend utiliza cada reloj de marca blanca. Por eso, antes de confiar la ubicación o las comunicaciones de un menor a uno de estos dispositivos, conviene revisar varias cosas:
- Fabricante y soporte: prioriza fabricantes establecidos que expliquen quién mantiene la seguridad del producto y cómo reciben los usuarios las actualizaciones.
- Cuenta familiar: comprueba que exista un modelo claro de cuentas familiares, con permisos separados y una gestión comprensible de los contactos autorizados.
- Autenticación en dos pasos: actívala si el servicio la ofrece. Añade una comprobación extra, más allá de la contraseña, para entrar en la cuenta.
- Contraseña única y robusta: no reutilices la clave del correo, de una red social o de otro servicio. Un gestor de contraseñas puede ayudarte a crear y guardar una diferente.
- Funciones que realmente necesitas: si el reloj no necesita cámara, mensajes o escucha remota para cumplir su objetivo, no conviertas esas funciones en un argumento de compra automático.
Estas medidas no garantizan que un dispositivo concreto sea seguro, pero sí ayudan a evitar una falsa sensación de protección. El GPS puede decirte dónde está un reloj; no te dice quién controla el servidor que procesa esa información.
La conclusión es sencilla, aunque poco cómoda: un reloj infantil conectado no es únicamente un accesorio de localización. También es una pequeña cámara, un micrófono y una cuenta online, todo unido por una infraestructura que el comprador quizá ni siquiera conozca. El caso probado no permite condenar a toda la categoría, pero sí obliga a hacer preguntas más concretas antes de poner uno en la muñeca de un niño.
