Hackearon un smartwatch para chicos y siguieron a un periodista por Brooklyn

El periodista Andy Greenberg se puso en la muñeca un reloj infantil de plástico lila y rosa, de la marca CJC, fabricado por YiQingTeng Electronics en Shenzhen y vendido por menos de 30 dólares. Se lo dio a dos investigadores de seguridad, Vangelis Stykas y Felipe Solferini, con un solo pedido: que probaran hasta dónde podían llegar. La respuesta fue peor de lo que esperaba.

Sin login, sin barreras

El problema de fondo era simple y grave a la vez: el sistema no verificaba quién enviaba las órdenes. Cualquiera podía mandarle comandos a cualquier reloj de la plataforma, sin autenticación de por medio. Con esa puerta abierta, Stykas y Solferini pudieron falsificar la ubicación GPS del dispositivo, sacar fotos en silencio con la cámara, escuchar audio ambiente por el micrófono, interceptar y falsificar mensajes de texto y voz, reemplazar el contacto de emergencia registrado, e incluso rastrear la ubicación real usando las redes wifi que el reloj detectaba a su paso.

La demostración no se quedó en la teoría. Stykas siguió a Greenberg desde su departamento hasta las calles de Brooklyn usando solamente los datos de redes wifi que el reloj iba reportando. Después, activó la cámara para fotografiarlo entrando a un ascensor y sentado en su escritorio, y grabó audio de una conversación de oficina. Todo eso, sin que el dispositivo mostrara ninguna notificación ni señal visible de que algo estaba pasando.

Millones de relojes, la misma falla

"Millones de chicos están expuestos y vulnerables a la explotación. Es simplemente catastrófico", resumió uno de los investigadores. La plataforma detrás del sistema, SETracker, primero aseguró que el problema ya estaba resuelto, hasta que le mostraron evidencia concreta de que la falla seguía siendo explotable en ese momento. Recién después de que la investigación se publicó, bloquearon los puertos del sistema viejo y obligaron a actualizar el software del lado del cliente.

El caso vuelve a poner sobre la mesa un problema conocido pero poco resuelto: los dispositivos IoT más baratos, los que terminan en la muñeca de un chico de ocho años porque cuestan una fracción de lo que cuesta un smartwatch de marca, casi nunca pasan por una auditoría de seguridad seria antes de salir a la venta. El precio bajo no es gratis, alguien paga el costo en algún lado, y en este caso ese alguien es la privacidad de quien lo usa.

Para una pyme argentina que vende electrónica de consumo, distribuye wearables o directamente evalúa incorporar sensores IoT a su propia operación —seguimiento de flotas, control de stock, dispositivos wearables para personal en planta—, este caso es un recordatorio concreto de que el proveedor más barato no siempre sale gratis. Antes de sumar cualquier dispositivo conectado al negocio, vale la pena preguntar puntualmente cómo se autentican los comandos, qué datos junta el fabricante y qué pasa con ellos si el servidor del otro lado tiene una falla como esta.