BSIによると、子ども向けスマートウォッチにセキュリティ脆弱性がある

何が起きたのか

BSIは子ども向けスマートウォッチと、スマートフォンのアプリを調べました。データの送り方、アカウントの守り方、アップデートの扱い、初期化や譲渡のときの動きを確認しました。すべての機種で、初期設定（電源を入れたときの設定）が弱いことが分かりました。

主な数字と事実

• 調べた時計は3機種です：Connect Neo（One2Track）、Garmin Bounce、Imoo Z3。
• 3機種のうち、工場出荷時の設定が安全だったものは0機種です。
• Imoo Z3は、チャットの文章、チャットの画像や動画、近くのWLAN情報を暗号化せずに送っていました。
• セキュリティアップデートについて明確で長期的な情報を出したメーカーは1社だけです。
• アカウントを削除したり時計を譲ったりした後も、調べた全機種で個人情報が端末に残っていました。

この時計が人気の理由

子ども向けスマートウォッチを使うと、保護者は子どもと連絡を取ったり、居場所を確認したりできます。子どもがスマートフォンを持たなくても使えます。ただ、インターネットやアプリにつながるため、ハッキングされたり情報が漏れたりする危険もあります。

なぜ重要なのか

チャットの内容や近くのWLAN情報が漏れると、子どもの居場所を特定されるおそれがあります。設定が弱いと、子どもが時計を初期化したり、安全でないWLANを追加したりできてしまいます。アップデートがなければ、すでに知られている穴も開いたままになります。BSIは、メーカーが最初から安全を設計すべきだと述べており、今後はEUのサイバーレジリエンス法（CRA）でも求められる予定です。

今後注目すべき点

• メーカーが約束どおりソフトウェアのアップデートで穴を修正するかどうか。
• 安全な初期設定を求めるCRAのルールによって、これらの製品がどう変わるか。
• 保護者は、時計が最新か確認し、ロックや安全設定をオンにし、売ったりあげたりする前に個人情報を消すことができます。