Smartwatch GPS per bambini: un test mostra tracciamento, foto e audio a distanza

La dimostrazione riferita nel 2026 è riuscita a trasformare uno smartwatch GPS per bambini in un possibile punto di sorveglianza: i ricercatori hanno tracciato chi lo indossava, scattato fotografie e ascoltato l’audio del microfono senza un avviso evidente sul dispositivo. Il test riguardava uno specifico orologio venduto da CJC e prodotto da YiQingTeng Electronics, non tutti gli smartwatch per bambini.

Cosa ha mostrato la dimostrazione

Vangelis Stykas e Felipe Solferini hanno analizzato uno smartwatch con GPS, fotocamera, microfono, messaggistica e funzioni di localizzazione. Quando il GPS ha inizialmente smesso di funzionare, i ricercatori hanno ricavato la posizione del dispositivo usando gli identificativi delle reti Wi‑Fi vicine; in seguito hanno dimostrato anche il tracciamento tramite la funzione GPS.

Il test ha inoltre riferito l’attivazione remota del microfono e la cattura di fotografie senza un’indicazione evidente per chi portava l’orologio. In altre parole, il dispositivo pensato per rassicurare la famiglia poteva esporre posizione, immagini e conversazioni. È un risultato concreto sul modello esaminato, non una prova che ogni fotocamera o microfono integrato in uno smartwatch per bambini possa essere attivato allo stesso modo.

L’infrastruttura condivisa dietro molti marchi

Il punto più importante non è solo il singolo orologio. Molti dispositivi economici vengono venduti con marchi diversi, ma possono dipendere dagli stessi servizi online: è il modello white-label, nel quale un’azienda fornisce piattaforma e infrastruttura che altri marchi riutilizzano con nomi e confezioni differenti.

I ricercatori hanno analizzato più di 70 smartwatch GPS e accessori per veicoli e hanno individuato tre filiere principali: YiQingTeng/SETracker, NewGPS2012 e SinoTrack. Secondo la loro stima, queste tre filiere sono associate a decine di milioni di dispositivi GPS. Il numero è una stima dei ricercatori, non un conteggio sottoposto a revisione indipendente.

Questa struttura amplia l’impatto potenziale di un difetto: una debolezza nel backend, cioè nei server che gestiscono account, posizione e comandi, può riguardare prodotti apparentemente separati. Ma attenzione alla scorciatoia mentale: usare una stessa piattaforma è un indicatore di rischio, non la dimostrazione che ogni marchio o modello sia attaccabile.

Le vulnerabilità segnalate

L’autenticazione è il controllo che dovrebbe verificare se chi invia un comando è davvero autorizzato a farlo. Quando manca o è insufficiente, un aggressore può tentare di impartire comandi a dispositivi altrui. La SQL injection, invece, sfrutta input gestiti male da un’applicazione per interferire con le interrogazioni al database: può esporre informazioni o alterare il modo in cui il servizio risponde.

Nel complesso, i ricercatori hanno segnalato:

• autenticazione mancante;
• SQL injection;
• manipolazione della posizione;
• falsificazione di messaggi;
• sostituzione dei contatti d’emergenza;
• accesso non autorizzato a microfoni e fotocamere.

Le conseguenze non sono soltanto tecniche. Un messaggio falsificato può minare la fiducia nelle comunicazioni tra genitore e figlio; la modifica di un contatto d’emergenza può alterare una funzione pensata proprio per gestire situazioni delicate. Nel test descritto, la combinazione di localizzazione, microfono e fotocamera ha reso evidente quanto siano sensibili i dati raccolti da questi dispositivi.

Cosa si può e non si può concludere

Sì, il caso documentato mostra che un aggressore può arrivare a tracciare chi indossa uno smartwatch vulnerabile. Nel test, il tracciamento è passato prima dagli identificativi Wi‑Fi vicini e poi dalla funzione GPS. Sì, sul dispositivo esaminato sono state riferite anche fotografie e audio acquisiti a distanza. No, questo non basta per dire che ogni smartwatch per bambini, o ogni prodotto basato su SETracker o NewGPS2012, sia vulnerabile.

La distinzione tra piattaforma e dispositivo è decisiva. I ricercatori hanno associato numerosi marchi alle infrastrutture condivise, ma non hanno confermato la vulnerabilità di ogni singolo prodotto. Il nome stampato sulla confezione, quindi, non racconta necessariamente quale backend gestisca davvero i dati; allo stesso tempo, la presenza di una piattaforma comune non equivale da sola a una compromissione.

SETracker ha dichiarato che i problemi erano stati risolti e, in un aggiornamento successivo, ha affermato di aver bloccato le porte utilizzate da una versione legacy del client e di aver corretto la vulnerabilità. Questa è la posizione dell’azienda: non va trasformata in una garanzia generale per tutti i modelli, versioni del client o servizi collegati.

La dimostrazione era inoltre distinta dalla presentazione prevista alla conferenza Black Hat: l’attacco riferito sullo smartwatch era già stato eseguito, mentre Black Hat era il contesto programmato per illustrare la ricerca.

Un problema che si ripete nella categoria

Il caso non arriva nel vuoto. Nel 2018, il modello MiSafes Kid’s Watcher Plus era stato associato a problemi che permettevano di esporre dati personali e posizioni, attivare l’ascolto a distanza e falsificare chiamate apparentemente provenienti da un genitore. In una ricerca del 2020 citata nel dossier, cinque dei sei smartwatch per bambini analizzati presentavano vulnerabilità gravi.

Questi precedenti indicano una ricorrenza dei problemi di sicurezza negli smartwatch GPS per bambini. Non dimostrano però che tutti i prodotti condividano gli stessi difetti o che una vulnerabilità storica sia ancora presente oggi. La lezione utile è più concreta: la funzione di localizzazione non può essere valutata separatamente da account, server, aggiornamenti e controlli di accesso.

Controlli utili prima di comprare

Per un genitore, la domanda non dovrebbe essere soltanto “quanto è preciso il GPS?”. Prima di affidare a un orologio posizione, messaggi, immagini o audio di un minore, conviene controllare alcuni elementi:

1. Produttore e supporto. Preferisci aziende consolidate che dichiarano di avere team dedicati alla sicurezza e una politica chiara per gli aggiornamenti.
2. Account famiglia. Verifica come vengono creati e gestiti gli account dei genitori, quali ruoli esistono e se il produttore documenta le protezioni applicate.
3. Autenticazione a due fattori. Se disponibile, attivala subito: aggiunge un secondo controllo oltre alla password.
4. Password unica e complessa. Non riutilizzare quella impiegata per posta elettronica, social o altri servizi. Un account familiare compromesso può diventare la porta d’ingresso alle funzioni più delicate.
5. Funzioni davvero necessarie. Fotocamera, microfono e messaggistica aumentano la quantità di dati che il dispositivo può gestire. Se non servono, valuta se abbia senso scegliere un modello che ne includa meno.
6. Informazioni sull’infrastruttura. Cerca documentazione sul servizio cloud e sugli aggiornamenti, non solo una lista di funzioni sulla confezione. Se non è chiaro chi gestisca account e dati, è un’informazione importante per la decisione.

Nessuno di questi controlli certifica da solo la sicurezza di un modello. Riduce però il rischio di scegliere un prodotto valutato soltanto per il prezzo o per il numero di funzioni.

Il punto da ricordare

La dimostrazione sullo smartwatch venduto da CJC mostra quanto possa essere invasivo un dispositivo connesso quando controllo degli account e backend non reggono: posizione, immagini e audio possono diventare parte dello stesso problema. L’aspetto più insidioso è la filiera white-label, perché il marchio visibile non rende necessariamente evidente l’infrastruttura che alimenta l’orologio.

Non tutti i dispositivi collegati alle piattaforme citate sono stati dimostrati vulnerabili. Per questo la scelta più sensata non è il panico, ma una verifica concreta delle pratiche di sicurezza del produttore, dell’account familiare e degli aggiornamenti. In un gadget indossato da un bambino, la sicurezza non è una voce accessoria: è la funzione che tiene insieme tutte le altre.