Een Nederlandse onderzoeker heeft een lek gevonden in de Nederlandse smartwatches HellOO en Belio en Belgische varianten daarvan. Daarmee was het dankzij een eenvoudige truc mogelijk om kinderen te volgen via de gps-locatie die het horloge alleen door zou moeten geven aan ouders.
De maker van de smartwatches heeft het lek inmiddels gedicht, meldt RTL Nieuws. Hackers konden mogelijk enkele jaren misbruik maken van het lek, al is onduidelijk of dat echt is gebeurd. Kwaadwillenden konden in de app in het request naar de backend het serienummer aanpassen. Daarbij was geen check of degene die de request deed ook echt de eigenaar is van dat horloge, waardoor iedereen inzage kon krijgen in ieders data, schrijft DearBytes.
De ethische hacker kwam erachter door de requests naar de server te onderscheppen en uit te lezen en daar parameters als 'watchid' in aan te passen. Door geautomatiseerd tienduizend mogelijke serienummers te checken, vond hij 508 horloges. Hetzelfde geldt voor het request van de locatie. Die locatie is uit te lezen en te plotten op een kaart.
Dezelfde truc werkt met hetzelfde model horloge bij andere resellers. Daarbij gaat het ook om modellen voor de Belgische markt. Daarnaast is het horloge onder andere namen te koop in elf andere landen, waaronder Duitsland, Frankrijk en het Verenigd Koninkrijk.
De makers van de horloges HellOO en Belio, een Chinees bedrijf die dit produceert voor bedrijven in veel meer landen, kwam binnen een week met een patch. De leverancier van het HellOO horloge zegt tegen RTL Nieuws in de toekomst meer beveiligingschecks te gaan doen op de apparaten.
Beide horloges hebben een simkaartslot en gps. Met een app kunnen ouders de locatie van hun kind volgen en bovendien bellen met het kind via het horloge. Het is onbekend hoeveel exemplaren van de HellOO en Belio in de Benelux in omloop zijn.