子供用スマートウォッチがハッカーに乗っ取られ記者を追跡
原題: Hackers Stalked Me by Hijacking a Smartwatch for Kids
なぜ重要か
低価格の子供向けIoTデバイスが共通の脆弱なプラットフォームを使い回している実態が示され、サプライチェーン全体のセキュリティリスクの深刻さが浮き彫りとなった。
セキュリティ研究者のVangelis StykaとFelipe Solferiniが、30ドル未満の子供用スマートウォッチの脆弱性を悪用し、WIREDの記者を位置追跡・盗撮・盗聴したことを実証した。2026年8月6日、Black Hat cybersecurityカンファレンスにて、70以上のGPS対応デバイスのサプライチェーン調査結果を発表。30以上のブランドが同一の脆弱なバックエンド基盤を共有していることが判明した。
WIREDの記者が中国・深圳のYiQingTeng Electronics（Wonlex）製の子供用スマートウォッチを装着してニューヨーク市内を通勤したところ、ギリシャのセキュリティ研究者Vangelis Stykaがリモートから記者の位置情報をリアルタイムで把握していた。GPS機能は不具合を起こしていたが、端末が周辺のWi-Fiネットワーク識別子を収集・送信していたため、研究者はブルックリンの特定の街区レベルまで位置を特定できた。
WIREDのマンハッタン本社に到着後、Stykaはウォッチのカメラ機能を遠隔操作し、記者がエレベーターに乗り込む瞬間と執務デスクに座る姿を無音で撮影した。さらに別の研究者Felipe Solferiniがマイク機能を通じて音声を傍受し、記者の同僚が週末のアート展示訪問について話す内容を聞き取った。この間、ウォッチ側には盗聴・撮影を示す表示は一切現れなかった。
当該ウォッチはCJCというブランドで販売され、Amazonで30ドル以下で購入可能なものだ。問題の本質はこの1製品にとどまらない。StykaとSolferiniは70以上のGPS対応ウォッチや車載デバイスのサプライチェーンを調査した結果、30以上のブランドがYiQingTeng（Wonlex）のバックエンドサーバーや関連アプリ「SETracker」を共有していることを突き止めた。さらに別の深圳拠点のプラットフォーム「NewGPS2012」も30以上のブランドの追跡デバイスを支えており、「SinoTrack」を加えると、脆弱性を抱える可能性のあるデバイスは大規模なものとなる。両研究者はこれらの知見をBlack Hat 2026にて発表した。