חוקרים טוענים כי 39 אפליקציות בקרת הורים פופולריות מעבירות נתונים בסתר לשרת בסין עשרות מותגי מעקב GP

חוקרים טוענים כי 39 אפליקציות בקרת הורים פופולריות מעבירות נתונים בסתר לשרת בסין

עשרות מותגי מעקב GPS, כמו שעונים חכמים לילדים ומערכות ניווט לרכבים, המשווקים להורים ולבעלי רכבים ביותר מ-50 מדינות ברחבי העולם, מעבירים נתונים לאותה תשתית שרתים בסין, כך על פי חוקרי אבטחה שהציגו את המידע בכנס Black Hat USA 2026.

בין המותגים ברשימה אפשר למצוא את Wonlex, SaveFamily ו-Garett, וגם את KidiWatch המשווק בישראל כשעון חכם לילדים המאפשר להורים שמירה מרחוק.

כל אותם מוצרים מסתמכים על מערכות קצה משותפות כמו myaqsh, מה שאומר שנקודת כשל אחת יכולה לפגוע בכל השוק, ובמיליוני משתמשים. החולשה המשותפת מאפשרת לתוקפים "לחטוף" מרחוק שעונים חכמים של ילדים וכלי רכב.

הממצאים פורטו בתדרוך שכותרתו "מעקב אחר המעקבים: כיצד השתלטנו על 36 מיליון מכשירי GPS המגנים על ילדים ועל כלי רכב", שהועבר ב-6 באוגוסט על ידי ואנגליס סטיקאס, מנהל טכנולוגיה ראשי ב-Kumio, ופליפה סולפריני, מהנדס אבטחת בינה מלאכותית ראשי ב-Kumio.

באמצעות ניצול של 45 פרצות אבטחה שונות (מתוכן 19 מוגדרות כקריטיות), תוקפים יכולים להשיג שליטה מלאה על המערכות.

כל מה שנחוץ לתוקף פוטנציאלי הוא חשבון חינמי באחת האפליקציות (ללא צורך בבעלות על מכשיר כלשהו), וזה מספיק כדי שיוכל להפעיל האזנות סתר למיקרופונים בשעונים חכמים של ילדים, להפעיל הקלטת וידאו נסתרת, לעקוב אחר מיקומי רכבים בזמן אמת, ואף להוציא פקודות מרחוק כגון פתיחת דלתות רכב.

החוקרים פנו לחברות המייצרות ושלחו עשרות מיילים כדי להתריע על הפרצות, אך לדבריהם אף יצרנית לא הגיבה או פעלה לתיקון המצב.

בשל היקף הפריצה וחוסר שיתוף הפעולה של היצרנים, ואנגליס סטיקאס, אחד החוקרים, קרא להורים ולבעלי הרכבים להפסיק להשתמש במכשירים אלה באופן מיידי ואמר: "אם יש לכם מכשיר כזה עבור הילד שלכם – תשרפו אותו, תשברו אותו. לא אכפת לי. הוא פרוץ".

לידיעה המלאה:
https://www.ntd.com/39-popular-parental-control-apps-secretly-funnel-data-to-one-server-in-china-researchers-say_1165416.html