中国制GPS追踪器泄露60万用户即时地点

研究人员发现，用于追踪儿童、宠物、家中长辈所在位置的中国制GPS追踪器有多项漏洞，使得近30款产品、高达60万用户的即时地点等资讯可能被陌生人掌握、甚至可让骇客窃听追踪器所有通讯内容。

防毒软件厂商Avast Threat Labs研究人员发现中国厂商深圳365科技（Shenzhen i365 Tech）产品多项漏洞，使产品上传云端的资料，包括配戴者的即时GPS座标曝光。研究人员首先只分析T8 Mini GPS儿童追踪器，后来发现这些漏洞影响该公司出品的所有29款追踪器产品，这些产品有的使用该公司品牌，有的是贴牌，经由Amazon、eBay等大型通路行销全球。

这项产品让用户透过app或是浏览器连上云端服务器，以存取设定或配戴者的即时地点。它第一项漏洞在于浏览器到其用户入口网站的登入连线是走HTTP协定，而非HTTPS，这意谓著输入密码可能被半路截取。

此外，厂商允许用户以5位数的ID码或使用者名称配合密码登入入口网站，这里又出现二项漏洞。首先，厂商明白告诉所有用户登入密码预设为123456。其次，使用者名称必须跟销售通路申请，因此大部分用户想必会使用ID码登入。可是研究人员发现，其5位数ID码是取自GPS追踪器的IMEI码（International Mobile Equipment Identity，国际行动装置辨识码）的一部分，也是可预测的。因此骇客就能利用ID码和预设123456的密码登入并接管用户账号。

研究人员测试下，从这家厂商4千多万笔ID码中，以预设密码登入了超过60万个并未修改密码的账户。透过接管账户，外人即可用以掌握配戴者的即时地点，或是进行更多样化攻击。后者是乃是利用产品搭配SIM卡，这项功能让配戴者打电话呼救或传送简讯给家人手机，并以简讯设立云端服务器IP和TCP port的功能。

研究人员发现，透过劫持的账号，骇客即能将追踪器ID绑上自己的电话，再以此设立新IP和TCP port将所有追踪器活动完全导过来，藉这个新的云端IP监控一切，包括和追踪器互动的所有人，并能用它来拨电话或传送简讯给任何电话号码，并从中窃听电话，甚至传送URL给追踪器以下载变造过的固件。

研究人员在发现产品漏洞后，于6月24日通知相关厂商，但表示二个月以来皆未收到任何回应，因而径自揭露漏洞。