Des chercheurs ont indiqué avoir suivi un journaliste, pris des photos à distance et écouté le microphone d’une montre GPS pour enfant pendant une démonstration. Le résultat concerne l’appareil testé — pas toutes les montres connectées pour enfants — mais il révèle un problème plus large : des marques différentes peuvent reposer sur quelques infrastructures communes.
Ce que la démonstration a montré
La montre examinée était vendue par CJC et fabriquée par YiQingTeng Electronics, dans l’écosystème SETracker. Les chercheurs Vangelis Stykas et Felipe Solferini ont réussi à suivre son porteur grâce aux identifiants de réseaux Wi-Fi voisins, après un dysfonctionnement initial du GPS. Lorsque la fonction GPS a ensuite fonctionné, elle a également permis de suivre la position de la montre.
La démonstration ne s’est pas arrêtée à la localisation. Les chercheurs ont activé le microphone et transmis le son sans qu’un avertissement évident apparaisse sur l’appareil. Ils ont aussi pris des photos à distance. Pour un objet présenté comme un outil de sécurité familiale, le renversement est brutal : la montre destinée à surveiller un trajet peut devenir un point d’observation pour quelqu’un d’autre.
La portée de ce résultat doit toutefois rester précise. Il s’agit d’un appareil testé et de faiblesses associées à des plateformes données. Rien ne permet d’en déduire que chaque montre connectée pour enfant peut être suivie, écouter son environnement ou prendre des photos à distance.
L’infrastructure commune derrière les marques
Le point le plus important n’est peut-être pas le nom imprimé sur le boîtier. Les chercheurs ont analysé plus de 70 montres GPS et accessoires automobiles et ont identifié trois chaînes d’approvisionnement blanches : YiQingTeng/SETracker, NewGPS2012 et SinoTrack.
Dans un modèle en marque blanche, plusieurs produits vendus sous des noms différents peuvent utiliser le même service distant, la même application ou un même système de gestion. Une faille dans ce socle ne rend pas automatiquement chaque appareil vulnérable, mais elle peut élargir considérablement la surface de risque.
Selon l’estimation avancée par les chercheurs, ces trois chaînes sont associées à des dizaines de millions d’appareils GPS. Il s’agit d’une estimation des chercheurs, pas d’un décompte audité. Leur analyse a notamment trouvé plus de 30 appareils utilisant la technologie YiQingTeng/SETracker et plus de 30 marques liées à NewGPS2012.
Les failles signalées et leurs conséquences
Les problèmes décrits ne relèvent pas d’un simple mot de passe mal choisi. Ils touchent les mécanismes qui doivent vérifier l’identité de l’utilisateur et séparer les comptes entre eux.
| Plateforme ou écosystème | Périmètre d’appareils décrit | Faiblesse technique signalée | Conséquence signalée |
| YiQingTeng/SETracker | Montres et autres appareils de géolocalisation ; plus de 30 appareils analysés utilisaient cette technologie | Authentification insuffisante et accès non autorisé à des fonctions de l’appareil | Commandes à distance, accès au microphone et à la caméra sur l’appareil testé |
| NewGPS2012 | Plus de 30 marques d’appareils de suivi automobile et pour enfants | Injection SQL et possibilité d’exécuter du code sur des serveurs | Accès ou manipulation potentiels de données et de services liés au suivi |
| SinoTrack | Appareils de suivi GPS, notamment des montres et des traceurs automobiles | Injection SQL et abus de comptes de démonstration | Exposition signalée de positions, de mots de passe et de données de véhicules |
L’injection SQL est une technique qui consiste à faire interpréter à une base de données des instructions qui ne devraient pas venir de l’utilisateur. L’authentification, elle, sert à vérifier qu’une personne ou un appareil a bien le droit d’effectuer une action. Quand ces protections sont insuffisantes, un attaquant peut parfois consulter des données, modifier des associations entre comptes ou envoyer des commandes à des appareils.
Les chercheurs ont également signalé la falsification de messages, la manipulation de localisation et le remplacement de contacts d’urgence. Ces conséquences sont particulièrement sensibles sur une montre utilisée pour communiquer avec un parent : un message qui semble venir du bon interlocuteur n’est pas forcément fiable si la plateforme permet de le contrefaire.
Ce que l’on peut réellement conclure
Oui, la démonstration montre qu’un appareil vulnérable peut servir à suivre son porteur et, dans le cas testé, à activer son microphone et sa caméra sans signal évident. Non, cela ne signifie pas que toutes les montres liées à SETracker ou NewGPS2012 sont prouvées vulnérables. L’association à une plateforme constitue un indicateur de risque, pas un verdict pour chaque modèle.
SETracker a affirmé que les problèmes avaient été corrigés et que des ports utilisés par une ancienne version du client avaient été bloqués. Cette déclaration ne permet pas, à elle seule, de conclure que tous les appareils, versions et services concernés sont sécurisés. La prudence consiste donc à distinguer la réponse de l’entreprise de la sécurité effectivement établie pour un produit précis.
Le problème n’est pas nouveau dans cette catégorie. En 2018, des failles touchant les montres MiSafes permettaient notamment d’exposer des positions et des communications, et de déclencher une écoute à distance. Une étude menée en 2020 sur six montres connectées pour enfants a par ailleurs trouvé de graves vulnérabilités sur cinq d’entre elles. Ces précédents montrent une répétition du risque, mais ne prouvent pas que les mêmes failles existent dans tous les produits actuels.
Les vérifications utiles avant l’achat
Pour choisir une montre connectée destinée à un enfant, ne vous arrêtez pas au GPS, au bouton SOS ou à la liste des fonctions. La question décisive est aussi la manière dont le fabricant protège le compte familial et l’infrastructure qui relie la montre à l’application.
- Privilégiez un fabricant établi qui dispose d’une équipe de sécurité identifiée et documente la gestion des comptes familiaux.
- Activez l’authentification à deux facteurs lorsqu’elle est proposée. Elle ajoute une seconde vérification au-delà du mot de passe.
- Utilisez un mot de passe unique et complexe pour le compte associé à la montre. Un mot de passe réutilisé ailleurs peut transformer une fuite indépendante en accès à l’appareil.
- Cherchez les informations sur les mises à jour et les alertes de sécurité avant de choisir un modèle. Une fiche technique remplie de fonctions ne dit rien, à elle seule, sur la solidité du service distant.
- Évitez les conclusions trop rapides à partir du seul nom de la plateforme. Deux produits peuvent partager une technologie, mais leur version logicielle, leur configuration et leur exposition peuvent différer.
La conclusion tient en une règle simple : une montre GPS pour enfant n’est pas seulement un petit objet porté au poignet, c’est aussi un compte, une application et un service distant. La démonstration rapportée montre ce qui peut arriver lorsque cette chaîne est mal protégée. Elle ne condamne pas chaque montre du marché, mais elle justifie de vérifier l’écosystème logiciel avec autant d’attention que le boîtier et ses fonctions.
