Pesquisadores relataram que rastrearam o usuário de um smartwatch GPS infantil, tiraram fotos remotamente e acessaram o microfone sem um alerta evidente no aparelho. A demonstração foi feita com um modelo vendido pela CJC, fabricado pela YiQingTeng Electronics e ligado ao ecossistema SETracker — um resultado grave, mas restrito ao dispositivo testado e às falhas relatadas nas plataformas analisadas.
O caso importa por um motivo que vai além de um relógio barato: marcas diferentes podem usar a mesma infraestrutura de bastidores. Quando a falha está no serviço compartilhado, o rótulo estampado no produto não conta toda a história.
O que a demonstração mostrou
O ataque relatado começou com o rastreamento do usuário por identificadores de redes Wi-Fi próximas, depois que o GPS do relógio apresentou problemas. Quando a função de localização voltou a funcionar, os pesquisadores também conseguiram usar o GPS do dispositivo para acompanhar o usuário.
A câmera permitiu capturar fotografias remotamente, enquanto o microfone transmitiu áudio sem que o relógio exibisse um aviso evidente de que estava sendo usado. Em outras palavras: no aparelho testado, recursos vendidos como ferramentas de segurança familiar também podiam se transformar em pontos de vigilância.
Isso responde à dúvida mais importante dos pais: sim, a demonstração relatada mostra que um relógio infantil vulnerável pode ser usado para rastrear, fotografar e ouvir seu usuário. Ela não demonstra que todo smartwatch infantil tem essas falhas.
A infraestrutura compartilhada por várias marcas
O ponto estrutural da investigação está no modelo white-label. Nele, uma empresa fornece a plataforma, os servidores e o aplicativo, enquanto várias marcas vendem produtos com nomes diferentes. Para o consumidor, parecem relógios independentes; nos bastidores, podem depender do mesmo sistema.
Os pesquisadores analisaram mais de 70 relógios com GPS e acessórios automotivos. Eles identificaram três cadeias principais: YiQingTeng/SETracker, NewGPS2012 e SinoTrack. A análise associou mais de 30 dispositivos de geolocalização à tecnologia YiQingTeng/SETracker e mais de 30 marcas ao NewGPS2012. Segundo os pesquisadores, as três cadeias estavam ligadas a dezenas de milhões de dispositivos GPS — uma estimativa, não uma contagem auditada.
A associação com uma dessas plataformas deve ser tratada como um sinal de atenção, não como prova de que um modelo específico pode ser invadido. Os próprios pesquisadores não confirmaram individualmente todos os produtos e marcas relacionados aos sistemas.
As falhas relatadas e suas consequências
Autenticação é o mecanismo que verifica se uma pessoa ou aplicativo realmente tem permissão para executar uma ação. Quando ela falta ou funciona mal, comandos podem chegar ao dispositivo sem uma barreira adequada. Injeção de SQL, por sua vez, é uma técnica que explora entradas mal protegidas para manipular consultas ao banco de dados — e pode abrir caminho para dados ou funções que deveriam estar isolados.
Veja como os problemas foram descritos nos três ecossistemas analisados:
| Plataforma ou ecossistema | Escopo de dispositivos descrito | Falha técnica relatada | Consequência relatada |
| YiQingTeng/SETracker | Mais de 30 dispositivos de geolocalização analisados usavam a tecnologia | Falhas de autenticação, manipulação de localização e acesso não autorizado a funções do dispositivo | Rastreamento, substituição de contatos de emergência e acesso à câmera e ao microfone no dispositivo testado |
| NewGPS2012 | Mais de 30 marcas de dispositivos de rastreamento usavam a plataforma | Injeção de SQL e possibilidade relatada de executar código nos servidores | Manipulação de dados e acesso indevido a funções de dispositivos de rastreamento |
| SinoTrack | Plataforma associada a smartwatches e rastreadores veiculares | Injeção de SQL e abuso de contas de demonstração | Exposição relatada de localizações, senhas e registros de veículos de dezenas de milhares de dispositivos |
A variedade das falhas é justamente o problema. Não se trata apenas de descobrir a localização: os pesquisadores relataram manipulação de mensagens, falsificação de chamadas e alterações de dados, além do acesso a câmera e microfone em determinados casos.
O que os dados comprovam — e o que não comprovam
O resultado mais sólido é o da demonstração no smartwatch testado: os pesquisadores relataram rastreamento, captura de fotos e acesso ao áudio. O segundo ponto sólido é a existência de plataformas compartilhadas que conectam produtos aparentemente diferentes.
O que não dá para concluir é que todo relógio associado a YiQingTeng/SETracker ou NewGPS2012 esteja vulnerável. Uma plataforma comum amplia o impacto potencial de uma falha, mas a exploração depende do modelo, da versão do cliente, da configuração e dos serviços usados por cada produto.
A SETracker afirmou que havia bloqueado portas usadas por uma versão antiga do cliente e que a vulnerabilidade tinha sido corrigida. Essa é uma declaração da própria empresa sobre sua resposta; ela não transforma automaticamente todos os dispositivos associados em produtos seguros.
O histórico da categoria também merece atenção. Em 2018, uma investigação sobre relógios MiSafes relatou exposição de localização, dados pessoais e comunicações, incluindo escuta remota e chamadas falsificadas. Em um estudo de 2020 citado no material do caso, cinco dos seis smartwatches infantis avaliados apresentaram vulnerabilidades graves. São episódios diferentes, com produtos e períodos distintos, mas apontam para um padrão recorrente: recursos conectados para crianças exigem segurança no servidor, no aplicativo e na conta familiar — não apenas um GPS funcionando bem.
O que verificar antes de comprar
Nenhuma marca ou modelo pode ser considerado seguro apenas porque oferece GPS, chamadas ou um aplicativo bem apresentado. Antes de confiar um relógio desse tipo a uma criança, vale transformar a compra em uma pequena auditoria:
- Procure um fabricante estabelecido, com equipe de segurança madura e informações claras sobre a proteção das contas familiares.
- Veja se há autenticação em dois fatores. Ela adiciona uma segunda etapa além da senha para dificultar o acesso indevido à conta.
- Use uma senha única e complexa para o aplicativo e para a conta associada ao relógio. Reutilizar a senha do e-mail ou de outro serviço aumenta o estrago de um vazamento.
- Entenda quem mantém o aplicativo e a plataforma, não apenas qual marca aparece na caixa. Em produtos white-label, o backend pode ser compartilhado por diversas marcas.
- Evite transformar a presença do GPS em garantia de segurança. Localização, câmera, microfone e mensagens ampliam a quantidade de dados e funções que precisam ser protegidos.
Essas medidas não permitem confirmar, sozinhas, se um modelo específico está vulnerável. Elas ajudam a reduzir decisões baseadas apenas em preço, aparência ou na promessa de tranquilidade — justamente os elementos mais fáceis de vender em um produto voltado à segurança infantil.
A conclusão para pais e compradores
O smartwatch infantil invadido não prova que todos os relógios do segmento sejam espiões. Prova algo mais preciso e igualmente importante: um único dispositivo vulnerável pode oferecer localização, câmera, microfone e comunicação a quem obtiver acesso indevido, enquanto a cadeia white-label pode esconder quantos produtos dependem da mesma infraestrutura.
Por isso, a pergunta certa antes da compra não é apenas “ele rastreia meu filho?”. É também: quem protege essa conta, esse aplicativo e o servidor que conecta o relógio à internet? Sem respostas claras sobre segurança, GPS e botão de emergência não passam de uma falsa sensação de controle.
