O relógio com GPS do seu filho informa a todos onde ele está

Um relógio no pulso deveria proporcionar tranquilidade. Os pais veem onde seus filhos estão em um mapa e, em caso de emergência, a criança aperta um botão. Na conferência de segurança DEF CON 34, realizada em 8 de agosto, Felipe Solferini e Vangelis Stykas demonstraram que esses mesmos relógios podem fazer exatamente o contrário. Segundo eles mesmos, assumiram o controle de milhões de dispositivos: leram e falsificaram localizações, interceptaram mensagens de texto e de voz, escutaram silenciosamente e acionaram a câmera. Nada disso apareceu no relógio.

A parte mais interessante não é a quantidade de dispositivos. Ela consta em um único slide da palestra.

Três servidores, dezenas de marcas

Os dois pesquisadores não desmontaram nenhum dispositivo. Eles se concentraram nas plataformas por trás deles, ou seja, nos servidores aos quais os relógios se reportam e dos quais recebem seus comandos. São três, e todos os três provêm da mesma cadeia de suprimentos em Shenzhen: a SETracker, com cerca de dez milhões de relógios infantis; a SinoTrack, com mais de seis milhões de rastreadores veiculares; e a TKSTAR — que, dependendo da fonte, também é conhecida como Thinkrace —, com mais de vinte milhões de dispositivos.

Por trás da SETracker, de acordo com os slides, está uma empresa chamada YQT, que também opera sob o nome de 3G Electronics. Os dados estão armazenados na Alibaba Cloud, na China. São 46 aplicativos, 39 marcas, mais de vinte países, voltados para crianças de três a doze anos.

Um slide tem como título “39 marcas, um servidor” e as cita: Wonlex, SaveFamily, KidiWatch, Garett Kids, Carneo Guard, Osmile, Kuus, Beafon e outras. Ao lado dele está a afirmação mais contundente da apresentação. Passar da Wonlex para a SaveFamily, escrevem os pesquisadores, é apenas uma mudança de adesivo.

A prova está na Play Store

O senhor pode verificar isso por conta própria, sem necessidade de conhecimentos específicos. Todo aplicativo Android possui um nome de pacote técnico que aparece na barra de endereço da Play Store. Para o relógio Garett, ele é com.tgelec.garetts; para o KidiWatch, com.tgelec.kidiwatch.

E para o Beafon, é com.tgelec.beafon. A Beafon é uma fabricante austríaca cujos relógios infantis também são vendidos na Amazon. A própria página do produto anuncia um “aplicativo Bea-fon Watch”. Na Play Store, esse mesmo aplicativo é exibido sob a tag da mesma plataforma que também hospeda os relógios baratos sem marca, com uma avaliação de 2,9 em 5 com base em 57 avaliações.

Para os pais, isso significa que a etiqueta na prateleira não determina para onde vão os dados de localização da criança. E nenhuma descrição indica qual aplicativo o relógio precisa e, portanto, a qual servidor ele se conecta. Na Amazon Alemanha, uma pesquisa realizada em 12 de agosto retornou 249 resultados para relógios inteligentes infantis, a maioria deles sob nomes inventados, sem fabricante rastreável.

Por que a marca CE não diz nada neste caso

Cada um desses relógios possui a marca CE. Os pesquisadores destacam que ela abrange o hardware, não a segurança do servidor por trás dele. É aí que a questão se torna interessante. Desde 1º de agosto de 2025, a privacidade desde a concepção (privacy by design) é um requisito de acesso ao mercado, nos termos do Artigo 3(3)(e) da Diretiva de Equipamentos de Rádio da UE. Um dispositivo em que uma única chave abre todos os aparelhos não atende a esse requisito. Não há registro de nenhum caso em que um relógio tenha sido retirado do mercado por esse motivo.

A Alemanha proíbe outra coisa, e isso desde 2017: relógios infantis com função de escuta. A Agência Federal de Redes afirma em suas orientações, datadas de julho de 2024, que relógios infantis com função de escuta são equipamentos de telecomunicações proibidos nos termos do artigo 8, parágrafo 1, da Lei Alemã de Telecomunicações, Serviços Digitais e Proteção de Dados. É possível identificar esse recurso por termos como “monitoramento de voz” ou “modo monitor de bebê”, ou pelo aplicativo solicitar um número de monitor. O rastreamento de localização, por si só, é explicitamente considerado pela agência como uma das funções permitidas.

As penalidades são desproporcionais. Fabricar tais equipamentos ou colocá-los no mercado constitui crime passível de pena de até dois anos. Anunciar a capacidade de escuta constitui uma infração administrativa passível de multa de até 10.000 euros. A mera posse e a importação também são proibidas, mas não acarretam penalidade específica. Na prática, a agência atua ordenando que as pessoas destruam o dispositivo.

O que os pais podem fazer agora

O primeiro passo não custa nada. Pesquise o nome do aplicativo que controla o relógio e, em seguida, encontre o nome do pacote na Play Store. Se for com.tgelec, ou se o aplicativo se chamar SeTracker ou SeTracker2, o relógio está em uma das plataformas sob investigação.

O segundo passo diz respeito aos dados já armazenados. Números de contato, fotos e mensagens de voz ficam no servidor, não no relógio. Desativar o dispositivo significa excluir a conta no aplicativo, não apenas deixar o relógio em uma gaveta.

O que não ajuda é trocar de marca dentro da mesma lista. O que também não ajuda é esperar. A Wonlex publicou uma postagem no blog em 10 de agosto descrevendo três pontos como corrigidos, identificados durante uma “auditoria interna de segurança”. Pesquisadores, a Black Hat e a DEF CON não aparecem em nenhum lugar nesse texto. A SinoTrack e a Thinkrace, segundo os pesquisadores, não responderam de forma alguma.

Existem relógios com seu próprio backend. A Xplora, a Anio e a Vidimensio operam seus próprios servidores. Isso não é garantia de segurança: no caso da Xplora, a TU Darmstadt demonstrou no final de dezembro que uma chave extraída de um único relógio desbloqueava todos os relógios do mesmo tipo.

Isso nos leva aos números. Os 36 milhões são uma estimativa dos pesquisadores, não verificada de forma independente, e um de seus próprios slides aponta 26 milhões no mesmo contexto. As 45 vulnerabilidades relatadas foram registradas, segundo eles mesmos, e nenhuma lista foi publicada. A única coisa que ninguém precisa estimar é o nome do pacote na Play Store. Ele está bem ali.