近期相继曝出多家儿童智能手表供应商普遍存在安全防护漏洞问题，据估计，至少有 4700 万甚至更多数量的终端设备可能受此影响。

黑客基于这些安全漏洞不仅能检索或改变儿童的实时 GPS 位置，还可以给他们打电话和或悄悄监视孩子的活动范围，或者从不安全的云端捕获到基于设备的通话音频文件。

具备定位追踪功能的儿童智能手表工作原理其实很简单，很多元器件在市面上十分常见且价格不贵。手表内的主板 SOC 模组集成了提供位置的 GPS 模块，以及向设备提供 GPRS 数据传输 + SMS 短信功能的 SIM 卡模块。

对儿童智能手表的 SIM 卡或物联网卡进行激活，绑定其他手机设备和 APP 程序后就能进行数据传输，家长在手机上打开相匹配的应用，就能实时得到孩子的位置信息。

而常见的漏洞便是出现在设备联网之后各项涉及用户数据的交互环节，比如用户注册登录过程、与设备关联的 Web 网页和管理站点、移动应用程序和云之间的通信量，以及 GPS 与云之间的 GPRS 通信量等。

安全软件公司 AVAST Software 通过检测 Shenzhen i365 Tech 产品相关的 Web 应用程序发现，所有的请求都是纯文本的标准 JSONAjax（一种轻量级的数据交换格式）请求，且所有请求都是未加密和明文的，传输信息附带指定的 ID 号和默认密码 123456，更值得关注的是黑客基于这些漏洞可以向设备发出指令，除了能获得 GPS 坐标，可能还有更 “黑” 的操作：

比如可以让儿童智能手表拨打存储名单中的任意电话号码，一旦连接上，就可以监听到用户的语音数据，而用户却不知情；可以激发设备 SOS 模式，发送短信给所有号码，进而使用 SMS（短信服务）作为攻击矢量；甚至可以发送一个 URL 的更新固件允许在设备上安装新固件，植入一些木马程序。

利用这些漏洞，黑客可以轻而易举地发动“MITM 攻击”（中间人攻击，一种间接的入侵攻击方式），通过把黑客控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，结合用于来回发送数据的不安全协议，黑客可以使用标准 IP 工具攻击捕获所有用户数据。

有用户调侃，对于这些劣质的儿童智能手表，定位不精准或许成了最大优点，最起码被黑客截取信息后，也不能准确找到孩子的位置和行踪。

儿童智能手表目前只有极少品牌有实力配备完善的硬件、软件、ROM、云服务等高质量的运维开发团队，大部分杂牌儿童智能手表为了降低成本，都是使用的现成解决方案贴牌跑销量为主，包括手表的系统、APP 以及共用的服务器后台接入，如果源头厂商对安全性不够重视，下游市场必然安全漏洞百出，混乱一片。

对于企业来说，儿童智能手表虽然是儿童产品，但绝不能以糊弄小孩的心态来做，做儿童智能产品，反而需要实施更严格和完备的产品安全标准，来为孩子们真正撑起一把保护伞。