Çocukların Konumunu Gösteren GPS Saatlerde Büyük Güvenlik Riski: Milyonlarca Cihaz Etkilenmiş Olabilir
Çocukların nerede olduğunu takip etmek, acil durumlarda iletişim kurabilmek ve ebeveynlere güven vermek amacıyla satılan GPS özellikli çocuk akıllı saatleri, ciddi bir siber güvenlik araştırmasının merkezinde. Güvenlik araştırmacıları Felipe Solferini ve Vangelis Stykas tarafından gerçekleştirilen çalışmaya göre aynı altyapıyı kullanan milyonlarca GPS takip cihazındaki güvenlik açıkları, saldırganların konum bilgilerine erişmesinden mikrofon ve kamerayı uzaktan kullanmasına kadar oldukça tehlikeli sonuçlar doğurabiliyor.
Araştırmacıların çalışması, Ağustos 2026’da düzenlenen Black Hat USA ve DEF CON 34 etkinliklerinde kamuoyuyla paylaşıldı. DEF CON’daki sunumun adı ise tehdidin büyüklüğünü doğrudan ortaya koyuyor: “Tracking the Trackers: How We Took Over 36 Million GPS Devices Protecting Children & Vehicles.”
Ancak burada önemli bir ayrıntı bulunuyor. Araştırmacıların sunum başlığında 36 milyon cihaz ifadesi kullanılırken bazı teknik özetlerde 26 milyonun üzerinde cihazdan söz ediliyor. Dolayısıyla 36 milyon rakamını bağımsız olarak doğrulanmış kesin cihaz sayısı yerine, araştırmacıların açıkladığı tahmini etki alanı olarak değerlendirmek gerekiyor.
Çocuk akıllı saatleri uzaktan takip aracına dönüşebiliyor
Araştırmanın en endişe verici tarafı, saldırının yalnızca belirli bir akıllı saat modelini hedeflememesi.
Solferini ve Stykas, tek tek saatlerin donanımını kırmak yerine cihazların iletişim kurduğu sunucu ve bulut altyapısını araştırdı. Ortaya çıkan sonuç, farklı marka logolarıyla satılan çok sayıda GPS saat ve takip cihazının aslında aynı arka uç sistemlerini kullandığını gösterdi.
Araştırmacıların iddiasına göre keşfedilen açıklar kullanılarak saldırganlar bazı platformlarda:
- Çocuğun veya aracın gerçek zamanlı konumuna erişebiliyor,
- Konum bilgisini değiştirebiliyor veya sahte konum gösterebiliyor,
- Metin ve sesli mesajlara erişebiliyor,
- Cihaz mikrofonunu uzaktan etkinleştirebiliyor,
- Kamerası bulunan modellerde görüntü alınmasını tetikleyebiliyor,
- GPS takip cihazlarına uzaktan komut gönderebiliyor.
Daha da önemlisi, bazı işlemlerin cihaz kullanıcısına görünür bir uyarı vermeden gerçekleştirilebildiği belirtiliyor.
WIRED tarafından araştırmacılarla gerçekleştirilen ayrı bir testte de çocuklar için satılan ucuz bir GPS saat üzerinden gazetecinin konumunun takip edilebildiği, ses alınabildiği ve cihaz özelliklerine uzaktan erişilebildiği gösterildi.
Sorun tek bir markada değil: Aynı sunucuyu kullanan onlarca marka var
Araştırmanın belki de tüketiciler açısından en önemli sonucu, cihazın üzerinde yazan markanın güvenlik altyapısını anlamak için yeterli olmaması.
Araştırmacılar üç büyük GPS takip ekosistemine odaklandı:
SETracker: Yaklaşık 10 milyon cihaz ve onlarca farklı marka.
SinoTrack: 6 milyondan fazla araç takip cihazı.
TKSTAR / Thinkrace: Araştırmacıların tahminlerine göre 20 milyonun üzerinde cihaz.
Araştırmacılar bu sistemlerin Shenzhen merkezli bağlantılı bir tedarik zincirinden geldiğini ve benzer mimari güvenlik problemleri taşıdığını belirtiyor. Çalışmada toplam 45 güvenlik açığının bildirildiği, bunlardan 19’unun kritik seviyede olduğu ve dokuzunun CVSS 3.1 sisteminde mümkün olan en yüksek 10.0 puanını aldığı aktarılıyor.
Bu durum özellikle “white-label” olarak bilinen üretim modelinin riskini gözler önüne seriyor.
Bir üretici aynı temel donanımı ve yazılım altyapısını hazırlayabiliyor; farklı şirketler ise ürüne farklı tasarım, uygulama adı veya marka logosu ekleyerek kendi ürünleriymiş gibi satabiliyor.
Sonuç olarak mağazada birbirinden tamamen farklı görünen iki çocuk saati, perde arkasında aynı sunucuya bağlanıyor olabilir.
Garett, Kidiwatch ve Beafon uygulamalarındaki ortak ayrıntı dikkat çekiyor
Bunun kullanıcı tarafından kontrol edilebilen en somut örneklerinden biri Android uygulamalarının paket adı.
Google Play’deki her Android uygulamasının benzersiz bir paket kimliği bulunuyor ve bu bilgi mağaza bağlantısında görülebiliyor.
Örneğin Google Play’de halen listelenen uygulamalara bakıldığında:
Garett Tracker
com.tgelec.garetts
Kidiwatch
com.tgelec.kidiwatch
Beafon Watch
com.tgelec.beafon
paket adlarını kullanıyor. Bu bilgiler doğrudan güncel Google Play sayfalarında doğrulanabiliyor.
Üç uygulamanın farklı tüketici markalarına ait olmasına rağmen aynı com.tgelec kökünü taşıması, araştırmacıların işaret ettiği ortak yazılım ve servis altyapısının tüketici tarafında görülebilen izlerinden biri.
Bu nedenle ebeveynlerin yalnızca saatin üzerinde yazan markaya bakarak cihazın verilerinin nasıl işlendiğini anlaması oldukça zor.
SETracker kullanan saatler özellikle mercek altında
Araştırmada öne çıkan sistemlerden biri SETracker.
SETracker halen çocuk GPS saatleri, yaşlı takip cihazları ve diğer GPS ürünlerinde kullanılmak üzere sunulan aktif bir platform. Wonlex de kendi internet sitesinde GPS saatlerinin SETracker uygulamasıyla kullanılabildiğini açıkça belirtiyor.
Araştırmacıların çalışması sonrasında Wonlex ayrıca bir güvenlik açıklaması yayımlayarak bazı servislerde değişiklik yapıldığını belirtti. Şirket, güvenlik denetimlerinin gerçekleştirildiğini, tespit edilen açıkların değerlendirildiğini ve SETracker’ın Avrupa pazarında GDPR gerekliliklerine uygun şekilde çalıştığını savunuyor.
Dolayısıyla güvenlik araştırmacılarının iddiaları ile üreticinin mevcut güvenlik açıklamalarını birbirinden ayırmak gerekiyor.
Ancak GPS konumu, çocuğun iletişim bilgileri, sesli mesajları ve potansiyel olarak kamera görüntüleri gibi son derece hassas verilerin söz konusu olması, olası bir açığın etkisini sıradan bir mobil uygulama açığından çok daha ciddi hale getiriyor.
CE işareti cihazın tamamen güvenli olduğu anlamına gelmiyor
Avrupa’da satılan elektronik cihazlarda bulunan CE işareti de tüketicilerin yanlış güven duygusuna kapılabileceği noktalardan biri.
Geçmişte radyo ekipmanlarına ilişkin CE uygunluk süreçleri daha çok ürün güvenliği, elektromanyetik uyumluluk ve radyo spektrumunun doğru kullanımı gibi konulara odaklanıyordu.
Fakat Avrupa Birliği’nin Radio Equipment Directive yani RED 2014/53/EU düzenlemesi kapsamında önemli bir değişiklik yapıldı.
1 Ağustos 2025 itibarıyla RED’in 3(3)(d), 3(3)(e) ve 3(3)(f) kapsamındaki siber güvenlik gereksinimleri uygulanmaya başladı. Bunlar arasında cihazların ağlara zarar vermesinin önlenmesi, kullanıcıların kişisel verilerinin ve mahremiyetinin korunması ve belirli cihazlarda dolandırıcılığa karşı güvenlik önlemleri bulunuyor.
Bu nedenle “CE yalnızca cihazın fiziksel donanımını kapsıyor” demek günümüzde tam olarak doğru değil.
Bununla birlikte ürünün üzerinde CE logosu bulunması, kullanılan sunucunun hiçbir güvenlik açığı taşımadığını veya üreticinin bulut altyapısının saldırıya uğrayamayacağını garanti etmiyor.
Özellikle farklı markaların aynı üçüncü taraf sunucu sistemini kullandığı white-label ürünlerde, arka uç altyapısındaki tek bir kritik açık çok sayıda ürünü aynı anda etkileyebiliyor.
Almanya gizli dinleme özellikli çocuk saatlerine karşı yıllardır önlem alıyor
Çocuk saatlerinin mikrofonunun ebeveyn tarafından fark ettirmeden uzaktan açılabilmesi yeni bir tartışma da değil.
Almanya Federal Ağ Ajansı Bundesnetzagentur, 2017 yılından beri gizli dinleme özelliğine sahip belirli çocuk akıllı saatlerinin satışına karşı işlem uyguluyor.
Güncel Alman mevzuatında da günlük kullanım ürünü görünümündeki bir cihazın kişinin farkında olmadığı şekilde özel konuşmaları dinlemesini veya görüntü kaydetmesini sağlayan telekomünikasyon sistemleri yasak kapsamında değerlendirilebiliyor. Bundesnetzagentur’nun tüketici bilgilendirmesinde çocuk saatlerindeki gizli dinleme özellikleri açık biçimde bu kapsama dahil ediliyor.
GPS ile konum takip özelliğinin kendisi ise aynı şey değil. Sorun, kullanıcının fark edemediği şekilde mikrofon veya kameranın etkinleştirilmesini mümkün kılan fonksiyonlarda ortaya çıkıyor.
Çocuğunuzun GPS saati varsa ne yapabilirsiniz?
Araştırma, piyasadaki bütün çocuk akıllı saatlerinin güvensiz olduğu anlamına gelmiyor. Ancak ebeveynlerin kullandıkları cihazın arkasındaki altyapıyı kontrol etmeleri için güçlü bir neden oluşturuyor.
İlk olarak saati yönetmek için telefona yüklediğiniz uygulamayı kontrol edin.
Android kullanıyorsanız Google Play sayfasını açarak uygulamanın bağlantısında bulunan paket adına bakabilirsiniz.
Özellikle SETracker, SETracker2 veya com.tgelec tabanlı uygulamalar kullanıyorsanız cihazınızın araştırmada incelenen ekosistemlerden biriyle ilişkili olup olmadığını daha ayrıntılı araştırmak mantıklı olabilir.
İkinci önemli konu ise cihaz kullanılmayacaksa yalnızca saati kapatmak değil, uygulamadaki hesabı ve bulutta bulunan verileri de silmek.
GPS saatleri yapıları gereği konum geçmişi, telefon numaraları, mesajlar ve diğer hesap bilgilerinin bir bölümünü uzak sunucularda saklayabiliyor.
Bu nedenle artık kullanılmayan bir saati çekmeceye bırakmak, sunucuda bulunan kullanıcı hesabını otomatik olarak ortadan kaldırmıyor.
Asıl sorun saatin fiyatı veya logosu değil, arkasındaki altyapı
Çocuk GPS saatleriyle ilgili son araştırma, IoT sektöründe uzun süredir devam eden daha büyük bir problemi yeniden gündeme getiriyor.
Bir elektronik cihaz satın alırken tüketici genellikle marka, tasarım ve donanıma bakıyor. Ancak internete sürekli bağlı cihazlarda güvenlik zincirinin önemli bir bölümü görünmeyen tarafta bulunuyor.
Mobil uygulama, API’ler, kullanıcı kimlik doğrulama sistemi ve ürünün bağlandığı sunucular en az cihazın kendisi kadar önemli.
Üstelik onlarca farklı markanın aynı altyapıya bağlandığı bir sistemde güvenlik açığı ortaya çıktığında problem tek bir modelle sınırlı kalmayabiliyor.
Araştırmacıların 36 milyon cihazlık tahmini bağımsız olarak doğrulanmış kesin bir rakam olmasa da, aynı altyapıyı kullanan milyonlarca GPS takip cihazının bulunması ve çok sayıda kritik güvenlik açığının rapor edilmiş olması çocukların konum verilerini işleyen ürünlerde tedarik zinciri güvenliğinin ne kadar önemli olduğunu açık biçimde ortaya koyuyor.
