Meerdere gebreken ontdekt
We kochten 4 gps-horloges voor kinderen. Ethische hackers van het security bedrijf Qbit vonden meerdere veiligheidsgebreken. We lichten er 2 toe:
Gebrek 1:
Bij de Q50* en Q90* kun je met slechts het mobiele nummer de volledige besturing van het horloge overnemen.
Waarom gevaarlijk?
Een kwaadwillende kan zo de locatie van het horloge achterhalen en je kind afluisteren.
Gebrek 2:
Alle horloges werken alleen met een simkaart zonder pincode.
Waarom gevaarlijk?
Gevaarlijk, want een dief kan hem in zijn telefoon stoppen en bellen en internetten op jouw kosten.
Reactie fabrikant
Fabrikant One2Track heeft ons beloofd de issues aan te zullen pakken. De fabrikant van de Q50 en Q90 gaf geen gehoor.
Afraden
De Consumentenbond raadt het gebruik van de Q50 en Q90 af. Hieronder lees je per horloge wat de veiligheidsgebreken zijn. Ook lees je wat je moet doen als je een van de horloges hebt.
Details over de onderzochte horloges
Q90
Te koop bij AliExpress voor €20
Dit horloge is onder verschillende merknamen* te koop, maar de typenaam is altijd Q90. Het horloge is te koop in diverse Nederlandse webshops. En websites met eendagsaanbiedingen bieden hem ook regelmatig aan. Bij AliExpress koop je hem voor €20 (inclusief verzendkosten).
In totaal vonden de hackers 11 kwetsbaarheden. Daarvan classificeren ze er 5 als gemiddeld risico. Verder waren het kleine kwetsbaarheden.
Het grootste gevaar speelt wanneer een aanvaller het mobiele nummer van de simkaart van het horloge kent. Met een aantal smsjes naar dit nummer is de volledige besturing van het horloge over te nemen. In die situatie kan hij:
- de locatie uitlezen
- het kind afluisteren
- de contactenlijst aanpassen
- het sos-noodgevallennummer aanpassen
- het horloge uitschakelen
De sms-jes waarmee je de schade kunt aanrichten, zijn te vinden via Google. De standaard pincode is erg eenvoudig (123456, heel soms 523681).
Het aanpassen van de pincode wordt niet afgedwongen en je wordt er ook niet op gewezen door de fabrikant. Het wijzigen doe je door een sms naar het horloge te sturen met deze tekst:
pw,OUDE_PINCODE,pw,NIEUWE_PINCODE#
Een app wordt niet meegeleverd, maar de fabrikant adviseert om se_tracker te installeren. Dit is een verschikkelijke app. De menu's zijn onlogisch, de vertaling is slecht en het kost veel moeite om de app te begrijpen.
De hackers vonden veel kwetbaarheden in de app, waarbij het vooral opviel hoe oud de software is waaruit de app is opgebouwd.
Reactie fabrikant
We geprobeerd om contact te krijgen met de fabrikant. Dit heeft geen reacties opgeleverd.
Wat kun je doen?
Dit product kun je beter niet gebruiken. Doe je dat toch, dan kun je een paar dingen doen.
- Verander de code van het horloge.
- Zorg ervoor dat het 06-nummer niet door anderen te achterhalen is.
- Zet een limiet op het maximale maandbedrag van het abonnement van dit telefoonnummer.
One2track Connect Go
Te koop bij One2track voor €115
One2Track is een Nederlands bedrijf dat een eigen app heeft ontwikkeld. De hackers viel een aantal zaken op:
- Niet al het netwerkverkeer van het horloge was versleuteld.
- Het overige netwerkverkeer verliep via verouderde versleuteling.
- Veel gebruikersdata werd ongecodeerd op de telefoon opgeslagen.
- Zwakke wachtwoorden van 8 tekens waren toegestaan.
Reactie fabrikant
One2Track reageerde snel en nam onze conclusies serieus. Ze gingen aan de slag met onze bevindingen en brachten enkele maanden later een update uit.
Uit deze update blijkt dat One2track hard bezig is geweest en veel zaken heeft aangepast. Het grootste punt van zorg: de versleuteling, is keurig opgelost. Alle verkeer verloopt nu via een veilig en up- to-date protocol.
De bestanden waar veel gebruikersgegevens in zijn opgeslagen worden echter nog altijd leesbaar en ongecodeerd op de telefoon opgeslagen. One2Track heeft ons laten weten dat ze dit inmiddels hebben opgelost.
De minimale wachtwoordlengte nog altijd 8 karakters, terwijl 12 aanbevolen is. One2track geeft aan een langer wachtwoord niet gebruiksvriendelijk te vinden.
Voor het probleem met de simkaart zonder pincode meldt One2track een oplossing te hebben. De simkaarten die zij sinds november leveren zouden hier niet vatbaar voor zijn. One2track heeft ons er één gestuurd en wij onderzoeken nu of dat inderdaad werkt.
Wat kun je doen?
One2Track heeft aangegeven alle aangetroffen beveiligingsissues op te lossen. We raden gebruikers het volgende aan:
- Zorg ervoor dat het 06-nummer van de simkaart niet door derden te achterhalen is.
- Zet niet te veel geld op de prepaid-simkaart.
- Kies een moeilijk wachtwoord van minimaal 12 tekens.
Q50
Te koop bij AliExpress voor €12
De Q50 is de voorganger van de hierboven besproken Q90. De hardware van de Q50 is van zeer lage kwaliteit. Het klepje van de simkaarthouder is zeer fragiel en kan snel afbreken. Ook zitten er 2 draadjes van de accu in de weg bij het plaatsen van de simkaart.
De Q50 wordt vooral op Chinese websites als AliExpress aangeboden voor bedragen vanaf €12 (inclusief verzendkosten). Ook zie je hem op websites met eendagsaanbiedingen en via Bol-partnershops.
Net als bij de Q90 speelt het grootste gevaar wanneer een aanvaller het mobiele nummer van de simkaart in het horloge kent. Met een aantal sms’jes naar dit nummer is de volledige besturing van het horloge over te nemen. In die situatie kan hij:
- de locatie uitlezen
- het kind afluisteren
- de contactenlijst aanpassen
- het sos-noodgevallennummer aanpassen
- het horloge uitschakelen
De sms-jes waarmee je de schade kunt aanrichten, zijn te vinden via Google. De standaard pincode is erg eenvoudig (123456, heel soms 523681).
Het aanpassen van de pincode is niet verplicht en de fabrikant wijst je ook niet op. Je wijzigt de pincode door een sms naar het horloge te sturen met deze tekst:
pw,OUDE_PINCODE,pw,NIEUWE_PINCODE#
Een app wordt niet meegeleverd, maar de fabrikant adviseert om 'se_tracker' te installeren. Dit is een verschrikkelijke app. De menu's zijn onlogisch, de vertaling is slecht en het kost veel moeite om de app te begrijpen.
De hackers vonden veel kwetsbaarheden in de app, waarbij het vooral opviel hoe oud de software is waaruit de app is opgebouwd.
Reactie fabrikant
We geprobeerd om contact te krijgen met de fabrikant. Dit heeft geen reacties opgeleverd.
Wat kun je doen?
Dit product kun je beter niet gebruiken. Doe je dat toch, let dan op het volgende:
- Verander de code van het horloge.
- Zorg ervoor dat het 06-nummer niet door anderen te achterhalen is.
- Zet een limiet op het maximale maandbedrag van het abonnement van dit telefoonnummer.
Belio Touch Kids - GPS Horloge kind
Te koop bij BOL.com voor €100
Bij de Bellio Touch Kids K01 kwamen we tijdens de eerste week testen geen ernstige kwetsbaarheden tegen. Er zijn onveiligheden gevonden, maar de hackers zagen niet direct mogelijkheden om die eenvoudig of op grote schaal te misbruiken.
Eén van de punten van zorg is het eenvoudige ID (unieke nummer) van de Belio.
Ook staat de Belio toe zwakke wachtwoorden te gebruiken. Het standaardwachtwoord is 123456 en moet verplicht gewijzigd worden. Dat is op zich goed, maar het is bijvoorbeeld geen probleem om dan 1234567 als wachtwoord te kiezen.
Wat kun je doen?
Ondanks dat wij geen grote veiligheidsproblemen met de Belio vonden adviseren wij onderstaande:
- Verander de code van het horloge in een moeilijk te raden wachtwoord van minimaal 12 tekens.
- Zorg ervoor dat het 06-nummer niet door derden te achter halen is.
- Zet een limiet op het maximale maandbedrag van het abonnement van dit telefoonnummer.
* Merknamen Q50 en Q90
De Q50 en Q90 zijn onder tal van merknamen te koop. Deze merknamen konden wij achterhalen: Aerolle, Cartbug, Cognos, Cognos, Excelvan, Fentorn, G36, Hangrui, Javrick, Lbs, LEMFO, Margoun, PANDAOO, SCKC, Sentar, SinePro, Smarcent, Smorov, Syl plus, TechTok-Philippines, Tkstar, Torntisc, Vwar, Walsoon, Wonlex en Zeepin
Steun de Consumentenbond
We onderzoeken regelmatig of bedrijven goed omgaan met de gegevens van je kinderen. En we pakken bedrijven aan die veiligheid en privacy niet serieus nemen. Zo weet je of de digitale diensten en producten die je kinderen gebruiken veilig zijn. Steun ons en word ook lid.
Ja, ik word lid
Lees ook:
27 jul.
16 jul.
Nieuws | 24 jun.
Eerste indruk | 1 dec.