Onderzoekers hebben in een horloge voor kinderen een backdoor ontdekt waardoor remote surveillance mogelijk was, zoals het nemen van foto's op afstand, het achterhalen van de locatie en het afluisteren van de omgeving. De fabrikant stelt dat er onbedoeld testcode is achtergebleven en heeft een firmware-update uitgebracht om het probleem te verhelpen.

Het gaat om een horloge gefabriceerd door het Chinese bedrijf Qihoo 360 dat door het Noorse Xplora onder de eigen naam op de Europese markt wordt aangeboden. Het kinderhorloge bevat een simkaart en bijbehorend telefoonnummer, alsmede een gps waarmee ouders de locatie van hun kind kunnen zien. Tevens is een microfoon aanwezig waarmee het kind en de ouders kunnen communiceren en een camera voor het maken van foto's of videobellen. Via een app kunnen ouders met de drager van het horloge communiceren.

Onderzoekers van securitybedrijf Mnemonic, die eerder voor de Noorse consumentenautoriteit onderzoek naar smartwatches voor kinderen deden, ontdekten de backdoor. Ze stellen dat de backdoor zelf geen kwetsbaarheid is, maar opzettelijk is aangebracht. Dat blijkt onder andere uit functienamen zoals remote snapshot, wiretap en send location. De backdoor was door middel van het versturen van sms-codes te activeren. Hiervoor moest een eventuele aanvaller wel de geheime encryptiesleutel van het horloge kennen, die tijdens de productie wordt aangemaakt.

De onderzoekers stellen dat zowel Xplora als Qihoo 360 over de encryptiesleutel en het telefoonnummer beschikken, waardoor ze de backdoor zouden kunnen activeren. Daarnaast zou een aanvaller met fysieke toegang tot het horloge de sleutel kunnen achterhalen. "De mogelijkheid om via sms af te luisteren of in het geheim foto's te nemen is geen kwetsbaarheid in de software, een misconfiguratie of een misser in het gebruik van verouderde protocollen. Deze functionaliteit is met opzet ontwikkeld", zo luidt de conclusie van de onderzoekers.

In een reactie aan Ars Technica laat Xplora weten dat de functionaliteit voor prototypes van het horloge was ontwikkeld. "Vanwege privacyzorgen werd de functionaliteit voor alle commerciële modellen verwijderd. De onderzoekers vonden een deel van de code die niet helemaal uit de firmware was verwijderd", aldus een verklaring van het bedrijf. Na te zijn ingelicht door de onderzoekers heeft Xplora een patch ontwikkeld die de backdoor verwijdert en vorige week onder gebruikers is uitgerold.