廉价儿童智慧手表泄漏超过5000笔儿童资讯，攻击者还能以父母身份去电与之对话 11月26日更新

科技日新月异，智慧手表对于一般人早已不陌生，除了大人用的产品，月来越多厂商推出儿童用的智能手表，依照功能性不同价格落差很大，品质也参差不齐。国外物联网测试单位发现，某款中国产的廉价儿童智慧手表存在严重的安全隐忧，其中有 5,000 多名儿童与其父母的相关资讯和位置被曝光。

廉价儿童智慧手表泄漏超过 5000 笔儿童资讯，攻击者还能以父母身份去电与之对话

AV-TEST 的物联网测试部门在儿童智能手表方面已经持续进行超过两年的测试与观察，近日该单位发表了一份报告，其中指出中国公司 SMA （深圳爱保护科技有限公司）制造的 M2 儿童智慧手表存在漏洞。M2 这个表款已经上市多年，可搭配专用的手机应用程序使用，父母于 SMA 服务上注册账号后可将孩子的智能手表与手机配对，然后使用该应用程序追踪孩子的位置，并且可与儿童进行语音通话，在孩子离开父母的指定区域时还可获得即时通知。这并不是个新概念，市面上已经有许多类似的产品，价位从几十美元到几百美元不等，但 AV-TEST 的首席首席执行官兼技术总监 Maik Morgenstern 表示 M2 表款在安全性方面的问题名列前茅，也是目前市面上最不安全的产品之一。

Morgenstern 说，任何人都能够透过可公开造访的 Web API 查询智慧手表的后台，这个后台中所显示的资讯与父母所持有的手机应用程序上所显示的内容一样。照理说，应该要有一个身份验证的机制以防止未经授权的访问，但由于 SMA 的服务器从不验证其有效性，所以不肖人士可用任何它们喜欢的方式来连接到该公司的 Web API 中，循环浏览所有用户的 ID，必且收集所有孩子与其父母的相关数据。Morgenstern 表示，利用这种技术，他的团队能够识别出超过 5,000 名 M2 智慧手表的配戴者和 10,000 多位家长账户。大多数使用 M2 智慧表款的孩童分布在欧洲，包含荷兰、波兰、土耳其、德国、西班牙和比利时等地，但在中国、香港与墨西哥也同样有所发现。

第二个漏洞则让人不免感到毛骨悚然，这问题就出在父母手机上的专属应用程序上。攻击者可以将该应用程序安装在自己的手机上，在应用程序的主配置文件中更改用户 ID，并将其手机与孩子的智慧手表配对，此过程完全不需输入家长的电子邮件地址或密码。在配对后，攻击者可在该应用程序的功能中，以地图追踪孩子的行踪，甚至可以用父母的身份拨打电话与孩子进行语音对话。更糟糕的是，攻击者可以在给孩子错误指示时更改应用程序登入账户的密码，将家长锁定在应用程序之外。

目前，AV-TEST 已经与 SMA 公司联系回报该问题，却没有获得相关回应，且该表款还在透过该公司网站与各地经销贩售。父母为孩子挑选智慧手表时请不要被低廉的价格迷惑，尽管追踪孩子是为了安全考量，但在其背后的系统安全性也是必须审慎考虑的重点，所以建议大家选购时以大厂牌的产品为主，至少在技术层面的水准比较可信。