El reloj con GPS de su hijo indica a todo el mundo dónde se encuentra

Se supone que un reloj de pulsera proporciona tranquilidad. Los padres ven dónde se encuentra su hijo en un mapa y, en caso de emergencia, el niño pulsa un botón. En la conferencia de seguridad DEF CON 34, celebrada el 8 de agosto, Felipe Solferini y Vangelis Stykas demostraron que esos mismos relojes pueden hacer todo lo contrario. Según sus propias declaraciones, se hicieron con el control de millones de dispositivos: leyeron y falsificaron la ubicación, interceptaron mensajes de texto y de voz, escucharon en silencio y activaron la cámara. Nada de ello se reflejó en el reloj.

Lo más interesante no es el número de dispositivos. Este dato aparece en una sola diapositiva de la ponencia.

Tres servidores, docenas de marcas

Los dos investigadores no desmontaron ni un solo dispositivo. Se centraron en las plataformas que hay detrás de ellos, es decir, los servidores a los que los relojes envían información y de los que reciben sus órdenes. Hay tres, y los tres proceden de la misma cadena de suministro en Shenzhen: SETracker, con aproximadamente diez millones de relojes infantiles; SinoTrack, con más de seis millones de localizadores para vehículos; y TKSTAR —que, según la fuente, también se conoce como Thinkrace—, con más de veinte millones de dispositivos.

Detrás de SETracker, según las diapositivas, se encuentra una empresa llamada YQT, que también opera bajo el nombre de 3G Electronics. Los datos se alojan en Alibaba Cloud, en China. 46 aplicaciones, 39 marcas, más de veinte países, dirigidas a niños de entre tres y doce años.

Una de las diapositivas lleva por título «39 marcas, un servidor» y las enumera: Wonlex, SaveFamily, KidiWatch, Garett Kids, Carneo Guard, Osmile, Kuus, Beafon y otras. Junto a ella se encuentra la afirmación más contundente de la presentación. Pasar de Wonlex a SaveFamily, escriben los investigadores, no supone más que un cambio de etiqueta.

La prueba está en Play Store

Puede comprobarlo usted mismo; no se requieren conocimientos especiales. Cada aplicación de Android lleva un nombre de paquete técnico que aparece en la barra de direcciones de la Play Store. En el caso del reloj Garett, es «com.tgelec.garetts»; en el de KidiWatch, «com.tgelec.kidiwatch».

Y en el de Beafon, es «com.tgelec.beafon». Beafon es un fabricante austriaco cuyos relojes para niños también se venden en Amazon. En su propia página de producto se anuncia una «aplicación Bea-fon Watch». En la Play Store, esa misma aplicación aparece bajo la etiqueta de la misma plataforma que también alberga los relojes económicos sin marca, con una valoración de 2,9 sobre 5 en 57 reseñas.

Para los padres, esto significa que la etiqueta de la estantería no determina dónde acaban los datos de localización de un niño. Y ninguna ficha de producto indica qué aplicación necesita el reloj y, por lo tanto, a qué servidor se conecta. En Amazon Alemania, una búsqueda realizada el 12 de agosto arrojó 249 resultados de relojes inteligentes para niños, la mayoría de ellos bajo nombres inventados y sin fabricante identificable.

Por qué la marca CE no dice nada en este caso

Todos y cada uno de estos relojes llevan la marca CE. Los investigadores señalan que esta abarca el hardware, pero no la seguridad del servidor que hay detrás. Ahí es donde la cuestión se vuelve interesante. Desde el 1 de agosto de 2025, la «privacidad desde el diseño» es un requisito de acceso al mercado según el artículo 3, apartado 3, letra e), de la Directiva de la UE sobre equipos radioeléctricos. Un dispositivo en el que una sola clave permite acceder a todos los dispositivos no cumple este requisito. No consta ni un solo caso en el que se haya retirado del mercado un reloj por este motivo.

Alemania prohíbe otra cosa, y lo hace desde 2017: los relojes infantiles con función de escucha. La Agencia Federal de Redes señala en sus directrices, de julio de 2024, que los relojes infantiles con función de escucha son equipos de telecomunicaciones prohibidos en virtud del artículo 8, apartado 1, de la Ley alemana de telecomunicaciones, servicios digitales y protección de datos. Esta función se identifica por términos como «monitorización de voz» o «modo vigilabebés», o porque la aplicación solicita un número de monitor. La propia agencia incluye explícitamente el seguimiento de la ubicación entre las funciones permitidas.

Las sanciones son desiguales. Fabricar dichos equipos o comercializarlos constituye un delito penal castigado con hasta dos años de prisión. Anunciar la capacidad de escucha constituye una infracción administrativa sancionable con multas de hasta 10 000 euros. La mera posesión e importación también están prohibidas, pero no conllevan sanciones específicas. En la práctica, la agencia actúa ordenando a los interesados que destruyan el dispositivo.

Qué pueden hacer los padres ahora

El primer paso no cuesta nada. Busque el nombre de la aplicación que controla el reloj y, a continuación, localice su nombre de paquete en la Play Store. Si aparece como «com.tgelec», o si la aplicación se llama «SeTracker» o «SeTracker2», el reloj forma parte de una de las plataformas objeto de investigación.

El segundo paso se refiere a los datos que ya se encuentran almacenados. Los números de contacto, las fotos y los mensajes de voz se guardan en el servidor, no en el reloj. Retirar el dispositivo significa eliminar la cuenta de la aplicación, no solo guardarlo en un cajón.

Lo que no sirve de nada es cambiar de marca dentro de la misma lista. Tampoco ayuda esperar. Wonlex publicó una entrada de blog el 10 de agosto en la que describía tres puntos que se habían solucionado, detectados durante una «auditoría de seguridad interna». Los investigadores, Black Hat y DEF CON no aparecen por ningún lado en ese texto. SinoTrack y Thinkrace, según los investigadores, no respondieron en absoluto.

Existen relojes con su propio backend. Xplora, Anio y Vidimensio gestionan sus propios servidores. Eso no supone un pase libre: en el caso de Xplora, la Universidad Técnica de Darmstadt demostró a finales de diciembre que una clave extraída de un solo reloj permitía acceder a todos los relojes del mismo tipo.

Quedan las cifras. La cifra de 36 millones es una estimación de los investigadores, no verificada de forma independiente, y una de sus propias diapositivas sitúa la cifra en 26 millones en el mismo contexto. Las 45 vulnerabilidades notificadas se han registrado, según sus propias declaraciones, y no se ha publicado ninguna lista. Lo único que nadie tiene que estimar es el nombre del paquete en la Play Store. Está ahí mismo.