Adquisición del backend

\
• En tres de las cuatro plataformas de backend se podía «falsificar» la ubicación del reloj GPS. Esto puede hacer que los padres piensen que el niño está en una ubicación distinta a la que realmente está.

\

• En dos de las plataformas es posible «falsificar» los mensajes de voz del reloj GPS que se envían a la aplicación para smartphone.

\

• Y una plataforma de backend incluso se podía tomar el control por completo, lo que permitía seguir a las personas que llevaban el reloj.

El backend de los relojes GPS Spotter® no se puede tomar el control de ninguna manera. La autorización se realiza mediante un nombre de usuario y una contraseña únicos. Esto también se aplica a todos los puntos finales de la app. Estos datos se transmiten a través de una línea SSL segura y, por lo tanto, no son accesibles.

Comunicarse sin cifrado ni autenticación

\
• Los relojes inteligentes que usan la plataforma 3G se comunican sin cifrado ni autenticación con el servidor que envía información desde y hacia la aplicación para smartphone de los padres.

\

• Además, se descubrió que el servidor backend era vulnerable a inyecciones SQL, lo que permitiría a un atacante acceder a los datos privados de los usuarios. El servidor backend de ANIO sí que exige que los usuarios inicien sesión. Sin embargo, una vez que el usuario ha iniciado sesión, puede ver fácilmente los datos de otros usuarios modificando su ID de usuario. Estas ID resultan ser incrementales, lo que facilita encontrar a otros usuarios.

En Spotter:

\
• Todas las comunicaciones de Spotter® están encriptadas y autorizadas. Se usa una conexión VPN segura para todas las comunicaciones entre el rastreador GPS Spotter® y la plataforma (GSM).

\

• En Spotter® tampoco se pueden consultar los ID de otras cuentas debido a la seguridad a nivel de cuenta en la plataforma Spotter. Esto significa que no se pueden consultar datos que no formen parte de la propia cuenta de cliente y que tampoco es posible realizar inyecciones SQL.

Envío de datos a servidores fuera de la UE

Otro problema que encontraron los investigadores es que 3G y ANIO envían datos de usuarios de la UE a servidores fuera de la UE sin indicarlo. Con esto, las empresas están infringiendo el RGPD.

Spotter® utiliza servidores dentro de la UE y, por lo tanto, cumple con la legislación del RGPD. Además, los datos no se ponen a disposición de terceros con fines comerciales. 

\n\n \n\nEn abril de 2020 se informó a estos fabricantes de los resultados del informe de investigación. Se han solucionado algunos problemas, pero aún persisten algunas vulnerabilidades.