Suomalaisen HMD:n lasten puhelimesta löytyi kauhistuttavia haavoittuvuuksia: lapsen sijainnin seuranta mahdollista hyökkääjälle – näin HMD kommentoi

HMD Fuse.

Suomalaisen HMD Globalin erityisesti lapsille suunnatun HMD Fuse -puhelimen (myös HMD Fusion X1 yhteistyössä Xploran kanssa) HarmBlock+ -turva-alustasta on paljastunut useita kriittisiä tietoturvahaavoittuvuuksia.

Haavoittuvuudet paljasti tietoturvakonsultti Paul Moore, joka kertoo raportoineensa ne vastuullisesti HMD:lle ja Xploralle viimeisen seitsemän kuukauden aikana.

HMD Fusion X1

• 6,56" IPS LCD -näyttö
• Sormenjälkilukija kyljellä
• 108 + 2 Mpiks. kamera
• 50 Mpiks. etukamera
• Qualcomm Snapdragon 4 Gen 2 -piiri
• 5000 mAh akku

Katso kaikki tiedot

Tutkijan mukaan hänen havaintojensa seurauksena alusta poistettiin käytöstä.

HMD puolestaan kommentoi palauttaneensa alustan toimintaan tekemiensä parannusten jälkeen. HMD:n kommentti asiaan on päivitetty artikkelin loppuun.

HMD Fusea on markkinoitu lapsille ja nuorille suunnattuna laitteena, jossa HarmBlock+ suojaa haitalliselta sisällöltä ja antaa vanhemmille hallintatyökaluja. Alustan haavoittuvuudet ovat kuitenkin vaarantaneet lasten yksityisyyden ja turvallisuuden.

Tutkijan mukaan hän pystyi hiljaisesti parittamaan minkä tahansa HMD Fuse -laitteen missä päin maailmaa tahansa ja ottamaan vanhemman tai huoltajan roolin. Tämä olisi mahdollistanut lapsen reaaliaikaisen GPS-sijainnin katsomisen, asennettujen sovellusten etähallinnan ja kaikkien HarmBlock+ -suojausten poistamisen käytöstä.

Käytännössä koko laitteen tarkoitus kääntyi itseään vastaan.

Tutkija kertoo pystyneensä myös emuloimaan mitä tahansa HMD Fuse -laitetta. Tämän avulla alustalle voitiin lähettää mielivaltaista laitedataa, joka näkyi vanhemman tai huoltajan sovelluksessa. Näin olisi ollut mahdollista väärentää tietoja lapsen puhelimen liikkeistä.

Kolmas keskeinen havainto koski HarmBlock+ -suojausten ohittamista. Tutkijan mukaan kaikki suojaukset oli mahdollista poistaa kokonaan palauttamalla laite tehdasasetuksiin Googlen Find My Device -palvelulla tai tavallisella ADB-komennolla.

Tämä on erityisen huomionarvoista, koska alustaa oli markkinoitu syvälle käyttöjärjestelmään upotettuna ratkaisuna, jota ei voisi ohittaa tai poistaa. Käytännössä nämä väitteet eivät pitäneet paikkansa.

Tutkija Mooren mukaan HMD on ilmoittanut tapauksesta Britannian tietosuojaviranomaiselle ICO:lle.

Käyttäjille ei kuitenkaan hänen mukaansa ole kerrottu haavoittuvuuksien luonteesta tai vaikutuksista. Sen sijaan sovellus ilmoittaa palvelun nyt olevan poissa käytöstä “ylläpidon ja tietoturvapäivitysten” vuoksi.

Moore katsoo, että vanhemmille pitäisi kertoa selvästi, mitä tapahtui, mitä tietoja on mahdollisesti voinut vaarantua ja mitä toimia heidän tulisi tehdä.

HMD esitteli Fusen elokuussa 2025. HMD Fusen sisältämän HarmBlock+:n kerrottiin estävän alastonkuvien kuvaamisen ja lähettämisen kuin myös vastaanottamisen. Alastonkuvien eston lisäksi puhelin on tarjonnut perinteisemmän hallinnan vanhemmille, mahdollistaen sovellusten hyväksymisen ja estämisen, käyttöaikarajoitukset, sijainnin seurannan sekä puhelujen ja viestien rajoittamisen valittuihin yhteystietoihin.

HMD markkinoi Fusea puhelimena, joka on suunniteltu kasvamaan lapsen kanssa niin, että lapsen kasvaessa sovelluksia ja ominaisuuksia voi vaiheittain avata käyttöön.

Tutkijan mukaan haavoittuvuudet olivat olemassa tuotteen julkaisusta lähtien ja vaikuttivat HarmBlock+ -alustan keskeiseen turvallisuusmalliin. Tarkempi tekninen analyysi on tutkijan mukaan tulossa.

Tutkija täsmentää, että HMD Fuse sisältää SafeToNetin kehittämän HarmBlock AI -teknologian, mutta hänen raportoimansa haavoittuvuudet koskevat HMD:n HarmBlock+ -toteutusta ja sitä ympäröivää alustaa. Sen sijaan löydökset eivät osoita heikkoutta itse HarmBlock AI -teknologiassa.

Kyse ei tutkijan mukaan ollut monimutkaisesta hakkeroinnista tai kehittyneestä hyökkäyksestä.

”Teknologia on perustavanlaatuisesti rikki jo suunnittelultaan, enkä parhaista yrityksistäni huolimatta pysty vakuuttamaan HMD:tä ryhtymään asianmukaisiin toimiin ja lopettamaan sen”, Moore toteaa. ”SafeToNetin Harmblock-tekoäly edustaa aitoa ja kipeästi kaivattua edistystä tällä alalla; ponnistusta, jonka tahraavat vastuuttomat yritykset, jotka eivät näytä välittävän turvallisuudesta tai yksityisyydestä millään merkityksellisellä tavalla”.

”Olen todella yrittänyt kaikkea viimeisten seitsemän kuukauden aikana; useista henkilökohtaisista tapaamisista myöhäisillan ryhmäpuheluihin ja pitkiin teknisiin keskusteluihin kaikkien asianosaisten kanssa. Valitettavasti ainoa vastuullinen seuraava askel on yksityiskohtainen selvitys, jotta vanhemmat/huoltajat voivat tehdä tietoon perustuvan päätöksen.”

Tapahtunut lyö vakavan lommon HMD:n maineeseen ja erityisesti uskottavuuteen tarjota tuotteita, joissa turvallisuudella on merkitystä. Tämä on vakavaa, sillä HMD on pyrkinyt mukaan myös viranomais- ja ammattilaismarkkinoille väitetysti turvallisilla laitteilla, kuten HMD Terra M -puhelimella ja HMD Ivalo XE -älypuhelimella.

Päivitetty kello 18.20:

HMD toimitti Mobiili.fille seuraavan kommentin asiaan liittyen:

”Käyttäjiemme, erityisesti lasten, turvallisuus, yksityisyys ja suojaus ovat HMD:llä tärkeimpiä prioriteetteja.

Heti kun vahvistimme riippumattoman tutkijan meille jakamat tietoturvahavainnot, poistimme Xploran tarjoaman lapsilukkopalvelun käytöstä. Ilmoitimme asiasta ennakoivasti tietosuojavaltuutetulle (ICO) ja aloitimme kattavan sisäisen tutkinnan. Sovellus, jossa on HarmBlock-alastomuuspohjainen sisällön estotoiminto, toimii edelleen lapsen laitteella eikä muutos vaikuttanut siihen.

Ennen palvelualustan palauttamista verkkoon suoritimme alustan täydellisen teknisen tarkastuksen ja teimme merkittäviä tietoturvaparannuksia ennen kuin palautimme sen käyttöön tänään. Tähänastisessa tutkimuksessamme ei ole havaittu näyttöä siitä, että kukaan muu kuin ne vastuullisesti paljastanut tutkija olisi hyödyntänyt näitä haavoittuvuuksia. Otamme esiin tuodut huolenaiheet vakavasti, jatkamme palvelualustan aktiivista seurantaa ja olemme sitoutuneet ylläpitämään korkeimpia turvallisuus-, tietosuoja- ja läpinäkyvyysstandardeja”

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla