Коротко: На конференции Black Hat USA 2026 исследователи Вангелис Стикас и Фелипе Солферини показали критические уязвимости в более чем 60 брендах детских GPS-часов. Все они работают на одной из трёх китайских серверных платформ — SETracker, NewGPS2012 или SinoTrack — с практически нулевой аутентификацией. Посторонний может в реальном времени следить за маршрутом ребёнка, скрытно включать камеру и микрофон, перехватывать переписку и менять экстренные контакты. Устройство при этом ничем не выдаёт слежку.
Что обнаружили исследователи
Исследователи в области кибербезопасности Вангелис Стикас и Фелипе Солферини проверили более 70 GPS-устройств — детских часов и автомобильных трекеров — и представили результаты на конференции Black Hat USA 2026, одном из главных мировых форумов по кибербезопасности. Они выяснили, что более 60 брендов построены на инфраструктуре трёх китайских компаний: SETracker (разработчик YiQingTeng), NewGPS2012 и SinoTrack. Только на платформе SETracker работают более 30 из проверенных брендов, а суммарное число устройств на всех трёх платформах измеряется десятками миллионов — в том числе модели, популярные в России и странах СНГ. Подобные угрозы приватности мы разбираем в блоге LiMP VPN.
Ключевая проблема — практически полное отсутствие аутентификации на уровне серверных платформ. Злоумышленник может отправлять команды практически любому подключённому устройству без пароля и верификации — никакого специального оборудования и продвинутых навыков не нужно. После раскрытия уязвимостей SETracker заявила об исправлениях на своей стороне; NewGPS2012 и SinoTrack на запросы не ответили.
Три платформы — десятки миллионов устройств
Чтобы оценить масштаб угрозы, важно понять устройство этого рынка. Большинство недорогих детских GPS-часов (стоимостью до 2 000–3 000 рублей) — это «белые этикетки»: одинаковая начинка от разных производителей с разными логотипами на упаковке. Вся архитектура сводится к трём серверным платформам:
- SETracker (YiQingTeng) — наиболее распространённая система; её используют более 30 из проверенных брендов, управление идёт через приложение SETracker или SeTracker2.
- NewGPS2012 — вторая по распространённости платформа, которую используют десятки других брендов.
- SinoTrack — ориентирована преимущественно на автомобильные трекеры, но применяется и в детских часах.
Поскольку уязвимость находится на уровне платформы, она затрагивает сразу все бренды, построенные на ней, — вне зависимости от цены часов и имени производителя на упаковке.
Что могут сделать злоумышленники
Из-за слабой аутентификации набор возможных действий тревожно широк:
- Отслеживание геолокации в реальном времени — следить за маршрутом и перемещениями ребёнка без ведома родителей.
- Скрытая фотосъёмка — делать снимки через камеру часов без каких-либо видимых сигналов на экране.
- Прослушивание — включать микрофон и записывать звуковое окружение ребёнка.
- Перехват сообщений — читать переписку между ребёнком и родителем через приложение управления.
- Подмена экстренных контактов — заменять номера, по которым ребёнок должен связаться в случае опасности.
Журналист WIRED проверил это на себе на Black Hat 2026: исследователи взяли его недорогие GPS-часы и смогли следить за его перемещениями, делать снимки камерой и включать микрофон — устройство не подало ни единого видимого признака слежки.
Почему угроза особенно серьёзна
Детские GPS-часы продаются как инструмент безопасности — родители покупают их именно для того, чтобы всегда знать, где ребёнок. Парадокс в том, что устройство, призванное защищать, само становится уязвимостью. Уязвимость находится не в прошивке часов, а на серверной платформе: обновление устройства не устраняет проблему. Решение зависит от действий самих платформ. SETracker объявила об исправлениях после раскрытия; ситуация с двумя другими платформами остаётся неопределённой.
Как снизить риск прямо сейчас
Пока ситуация с патчами развивается, несколько шагов помогут снизить риск для вашей семьи:
- Определите платформу своих часов. Проверьте, через какое приложение управляются часы: если это SETracker, SeTracker2, SinoTrack или внешне похожий интерфейс — устройство, скорее всего, на уязвимой платформе.
- Ограничьте разрешения приложения. Запретите приложению часов доступ к контактам и уведомлениям телефона там, где это возможно.
- Следите за обновлениями прошивки. Устанавливайте их сразу после выхода. Платформы могут выпустить серверный патч без обновления самого устройства.
- При следующей покупке выбирайте иначе. Часы крупных производителей с собственной серверной инфраструктурой, а не на общей сторонней платформе, как правило, несут меньший риск.
Защита данных вашей семьи включает и защиту сети, по которой передаётся информация о местонахождении ребёнка. LiMP VPN шифрует трафик мобильных устройств, не позволяя перехватывать данные на сетевом уровне. Это не устраняет серверную уязвимость платформ, но добавляет важный дополнительный уровень защиты для всего, что передаётся с вашего смартфона.
Источники
- Anti-Malware.ru — Детские смарт-часы оказались карманным шпионом для хакеров (7 августа 2026)
- Habr — Исследователи взломали детские умные часы (9 августа 2026)
- WIRED — оригинальное расследование с демонстрацией взлома на Black Hat USA 2026 (исследователи Вангелис Стикас и Фелипе Солферини)