Smartwatches para crianças possuem graves falhas de segurança, dizem analistas

Todo mundo sabe que o mercado de Internet das Coisas (IoT) não é exatamente seguro — as empresas estão adicionando conectividade em diversos dispositivos, mas nem sempre estão dando a devida atenção a questões de privacidade e segurança cibernética. Como exemplo, pesquisadores da Universidade de Ciências Aplicadas de Münster, na Alemanha, acaba de encontrar graves vulnerabilidades em diversos smartwatches para crianças.

• Pesquisa mostra perigos de uso indevido de dados obtidos por smartwatches
• IoT precisa focar na segurança dos dados
• Segurança para IoT: preocupação dos consumidores e oportunidade para operadoras

Esses gadgets são, ironicamente, projetados para permitir uma comunicação segura entre crianças e seus pais, permitindo que os progenitores acompanhem a localização geográfica dos pequenos, troquem mensagens de texto e voz e até mesmo recebam pedidos de socorro (SOS) em smartphones cadastrados para tal.

Os relógios inteligentes — fabricados pelas marcas Starlian, JBC, Polywell, Pingonaut, ANIO e Xplora — possuem uma série de falhas estruturais que podem ser abusadas por criminosos cibernéticos. O principal problema detectado é a falta de criptografia na comunicação entre os dispositivos e os servidores das empresas, o que permite a interceptação de dados e espionagem da comunicação entre pais e filhos.

Dois modelos em específico (o ANIO4 touch, da ANIO, e o Panda 2, da Pingonaut) apresentaram ainda falhas no processo de autenticação, bug que pode ser usado por um atacante para adentrar no servidor usando credenciais legítimas, falsificar sua identidade e enviar mensagens para os pais se passando pelo filho ou vice-versa.

Todas as vulnerabilidades detectadas pelos pesquisadores — com exceção daquelas identificadas nos relógios da marca Starlian — já foram corrigidas pelos fabricantes, mas os responsáveis devem garantir que as atualizações mais recentes estejam instaladas no aparelho. No caso do Panda 2, a Pingonaut prometeu adicionar em breve criptografia TLS para proteger a comunicação entre o smartwatch e os servidores.

Fonte: ESET