Oke, gue mau cerita sesuatu yang bikin lo ngerinding. Tiba-tiba lo lagi jalan ke stasiun subway, dan ada orang asing yang tau persis lo di mana, lagi ngapain, bahkan bisa nguping pembicaraan lo. Serem, kan? Nah, ini bukan cerita horor—ini kejadian beneran di reporter WIRED yang baru aja jadi korban eksperimen keamanan dari dua researcher.
Hacker Stalk Lo Lewat Smartwatch Anak
Ceritanya begini: Vangelis Stykas dan Felipe Solferini, dua researcher keamanan digital, baru aja ngelakuin demo yang cukup EXTREME di Black Hat conference. Mereka berhasil nge-hack smartwatch anak yang bisa nge-track lokasi, terus ngapain? Mereka stalking reporter WIRED dari apartemen sampai ke kantor. Gak cuma location tracking—mereka juga berhasil ambil foto diam-diam dari kamera watch itu, dan yang paling GG (gak wajar): sadap audio lewat mikrofonnya. Reporter bahkan gak ngeh kalau jam di pergelangan tangannya lagi nge-live streaming everything ke hacker.
Yang bikin OPS (ojo probe) adalah: smartwatch ini bukan brand obscure yang random. Watch ini dijual dengan harga kurang dari $30, diproduksi sama YiQingTeng Electronics di Shenzhen, China, dan platform yang dipake—SETracker—dipakai oleh DOZENS of brands lain. Jadi intinya, lo pikir beli brand berbeda, tapi ternyata datanya ngalir ke backend yang SAMA.
Supply Chain yang Sebenernya Kotor
Stykas dan Solferini udah analisi lebih dari 70 GPS-enabled devices, mulai dari smartwatch anak sampai car accessories. Hasilnya? MORE THAN 30 devices itu pake teknologi dan server yang sama dari YiQingTeng (atau yang dikenal juga sebagai Wonlex). Sementara 30+ devices lainnya ngandalin platform NewGPS2012. Combined dengan SinoTrack, researchers nemuin bahwa tens of millions GPS tracker gadgets itu datang dari cuma tiga supply chain.
Dan here’s the kicker—ALL THREE punya security flaws yang parah:
- No authentication yang bikin siapa aja bisa ngirim perintah ke device manapun
- SQL injection vulnerabilities yang bisa ngasih hacker akses ke data lokasi, password, bahkan vehicle records
- Account demo di SinoTrack yang seharusnya buat demo, tapi malah bisa dipake buat nge-hack jutaan devices
- Server-side vulnerabilities yang ngexpose data konsumen dan bisa jalanin code sendiri di server
Intinya? "Millions of kids are being exposed and vulnerable to exploitation. It's just catastrophic. It's really low-hanging fruit for a lot of bad actors," kata Stykas.
Kenapa Gak Ada yang Bener-Bener Di-fix?
Ini yang paling FRUSTATING. Researchers udah warning companies di balik ketiga platform Shenzhen ini soal vulnerabilities mereka buat berbulan-bulan. Tapi pas WIRED nge-contact SETracker? Mereka claim "issues have been resolved long before"—padahal researchers berhasil hack device masih berfungsi dengan baik pas di-test BARU-BARU ini. SinoTrack dan NewGPS2012? Gak respond sama sekali.
Ironinya, ini bukan pertama kali. Sejak 2017-2018, Pen Test Partners dan pemerintah Norwegia udah warning soal smartwatch anak yang hackable. Studiyang dilakukan Münster University of Applied Sciences di 2020 nemuin 5 dari 6 smartwatch anak punya vulnerabilities yang parah. "It was crazy. Everything was basically broken," kata Sebastian Schinzel, salah satu researcher.
Geek Opinion: Stop Beli Murah, Anak Lo Bisa Di-stalk
Buat para parents di luar sana—gue tau smartwatch GPS anak itu keliatannya praktis dan affordable, tapi please think twice. Kerentanan yang researchers temuin ini bukan bug kecil yang bisa di-patch tomorrow. Ini masalah supply chain yang fundamentally insecure, dan companies behind it udah proven gak concerned dengan keamanan pengguna.
"A parent in Sweden buying a 'SafeKid' watch and a parent in Spain buying a 'SaveFamily' watch are both sending their child's location data to the same vulnerable backend... without knowing it," tulis researchers di whitepaper mereka.
Lo gak bisa cuma liat brand dan harga. Lo gak bisa cuma liat review di marketplace. Yang penting adalah: lo harus tanya ke diri sendiri—apakah lo rela taruh device yang fundamentally insecure di pergelangan tangan anak lo, yang bisa dipake siapa aja buat nge-stalk mereka?
Until these companies take security seriously, maybe the safest GPS tracker is... gak pake GPS tracker? Sounds extreme, but when the vulnerability is THIS BAD, it's hard to argue otherwise.
