Seorang jurnalis Wired memakai jam tangan anak berwarna lavender dan pink seharga kurang dari 30 dolar ke kantor di New York minggu lalu. Sepanjang perjalanannya, peneliti keamanan Yunani Vangelis Stykas memantau posisinya secara real time — bukan melalui GPS yang justru bermasalah, melainkan lewat identifikasi jaringan Wi-Fi di sekitar perangkat yang dikirim ke server jauh. Saat jurnalis tiba di lift kantor, Stykas diam-diam memicu kamera jam tangan untuk memotret momen ia masuk lift, lalu sekali lagi di meja kerjanya. Mikrofon pun diaktifkan dari jarak jauh, menangkap percakapan rekan kerja tentang kunjungan ke pameran seni. Tidak ada indikasi apapun di layar jam tangan bahwa perangkat tersebut sedang disadap.
Jam tangan itu dijual merek CJC, diproduksi YiQingTeng Electronics di Shenzhen, dan berjalan di platform SETracker. Namun yang lebih mengkhawatirkan, platform yang sama — beserta Wonlex dan Shenzhen 3G Electronics — digunakan oleh puluhan merek jam tangan anak dan pelacak mobil lainnya. Stykas dan Solferini, yang mempresentasikan temuan mereka di konferensi Black Hat, menganalisis lebih dari 70 perangkat pelacak GPS. Lebih dari 30 di antaranya mengandalkan infrastruktur YiQingTeng, sementara 30 merek lain beroperasi di platform NewGPS2012. Digabungkan dengan SinoTrack, tiga rantai pasok ini mengontrol puluhan juta perangkat pelacak di seluruh dunia.
Semua tiga platform mengandung celah keamanan fundamental. Beberapa sederhana seperti tidak adanya autentikasi yang memungkinkan siapa pun mengakses perangkat manapun. Celah lain memungkinkan pelacakan lokasi, pemalsuan posisi, penyadapan dan pemalsuan pesan teks serta audio, penggantian kontak darurat, hingga pengambilan foto dan video diam-diam pada perangkat berkamera. Ketika GPS jam tangan uji coba Wired akhirnya berfungsi, fitur itu pun berhasil dijajah untuk mengikuti setiap langkah pengguna.
Pada aksesoris pelacak mobil, peneliti menemukan kerentanan serupa yang memungkinkan pelacakan lokasi atau pengiriman pesan palsu yang berpotensi membuka kunci atau menonaktifkan kendaraan — meskipun mereka tidak mengujinya pada mobil nyata. Di sisi server, mereka menemukan kebocoran data konsumen, kemampuan mengeksekusi kode sendiri, dan di satu kasus, indikasi akses tidak sah ke backend yang sudah dilakukan pihak lain sebelum mereka.
"Jutaan anak terekspos dan rentan dieksploitasi. Ini bencana. Buah yang sangat mudah dijangkau banyak pelaku jahat," kata Stykas. "Satu-satunya batasan adalah imajinasi kriminel Anda dalam mengeksploitasi perangkat ini." Pernyataan itu mencerminkan betapa luasnya permukaan serangan yang dibuka oleh standar keamanan yang diabaikan produsen perangkat murah ini.
Para peneliti telah memperingatkan ketiga perusahaan platform Shenzhen tersebut selama berbulan-bulan. Saat Wired menghubungi perwakilan SETracker, pihak tersebut awalnya mengklaim masalah sudah diselesaikan "lama sekali" dan menegaskan mereka sangat memperhatikan keamanan. Namun ketika dikonfrontasikan dengan bukti penyalahgunaan baru-baru ini, mereka meminta bukti eksploitasi. Hanya beberapa jam sebelum presentasi Black Hat, teknik peretasan terhadap SETracker berhenti berfungsi — meski peneliti belum yakin celahnya benar-benar tertutup. SinoTrack dan NewGPS2012 tidak merespons permintaan komentar, dan eksploitasi terhadap kedua platform tersebut
Di Indonesia, jam tangan anak cerdas murah meriah dijual di platform e-commerce populer, banyak di antaranya merek tidak dikenal yang kemungkinan besar berasal dari rantai pasok yang sama. Harga yang terjangkau — sering di bawah Rp 500.000 — membuatnya menarik bagi orang tua yang ingin memantau anak, namun justru menjadi pintu masuk bagi aktor jahat. Belum ada regulasi spesifik di Indonesia yang mewajibkan standar keamanan minimum untuk perangkat IoT konsumen, termasuk jam tangan anak. Kementerian Komunikasi dan Informatika baru-baru ini mengeluarkan peraturan tentang keamanan siber, namun fokusnya lebih pada infrastruktur kritis dan penyedia layanan elektronik, bukan perangkat keras konsumen murah.
Orang tua Indonesia yang telah membeli perangkat serupa sebaiknya mematikan fitur kamera dan mikrofon jika tidak dibutuhkan, membatasi izin akses lokasi, dan mempertimbangkan mengganti perangkat dengan merek bereputasi yang transparan soal keamanan. Komunitas keamanan siber lokal seperti ID-CERT dan komunitas peretas etis dapat berperan mengaudit perangkat yang beredar di pasar domestik. Tanpa tekanan dari pasar dan regulasi, produsen akan terus mengabaikan keamanan demi menekan biaya produksi.
Kasus ini mengingatkan bahwa keamanan siber bukan hanya soal data pribadi dewasa, tapi juga keselamatan fisik anak-anak. Ketika perangkat yang dijual sebagai alat pelindung justru jadi alat pengintai, kepercayaan publik pada teknologi wearable untuk keluarga akan hancur. Industri teknologi Indonesia — baik pengembang aplikasi, platform e-commerce, maupun regulator — perlu bergerak cepat menetapkan standar keamanan minimum sebelum insiden serupa terjadi di tanah air.