Suomalaisen HMD:n lasten puhelimesta löytyi kauhistuttavia haavoittuvuuksia – lapsen sijainnin seuranta mahdollista hyökkääjälle

HMD Fuse.

Suomalaisen HMD Globalin erityisesti lapsille suunnatun HMD Fuse -puhelimen (myös HMD Fusion X1 yhteistyössä Xploran kanssa) HarmBlock+ -turva-alustasta on paljastunut useita kriittisiä tietoturvahaavoittuvuuksia.

Haavoittuvuudet paljasti tietoturvakonsultti Paul Moore, joka kertoo raportoineensa ne vastuullisesti HMD:lle ja Xploralle viimeisen seitsemän kuukauden aikana.

HMD Fusion X1

• 6,56" IPS LCD -näyttö
• Sormenjälkilukija kyljellä
• 108 + 2 Mpiks. kamera
• 50 Mpiks. etukamera
• Qualcomm Snapdragon 4 Gen 2 -piiri
• 5000 mAh akku

Katso kaikki tiedot

Tutkijan mukaan hänen havaintojensa seurauksena alusta on nyt poistettu käytöstä.

HMD Fusea on markkinoitu lapsille ja nuorille suunnattuna laitteena, jossa HarmBlock+ suojaa haitalliselta sisällöltä ja antaa vanhemmille hallintatyökaluja.

Alustan haavoittuvuudet ovat kuitenkin vaarantaneet lasten yksityisyyden ja turvallisuuden.

Tutkijan mukaan hän pystyi hiljaisesti parittamaan minkä tahansa HMD Fuse -laitteen missä päin maailmaa tahansa ja ottamaan vanhemman tai huoltajan roolin. Tämä olisi mahdollistanut lapsen reaaliaikaisen GPS-sijainnin katsomisen, asennettujen sovellusten etähallinnan ja kaikkien HarmBlock+ -suojausten poistamisen käytöstä.

Käytännössä koko laitteen tarkoitus kääntyi itseään vastaan.

Tutkija kertoo pystyneensä myös emuloimaan mitä tahansa HMD Fuse -laitetta. Tämän avulla alustalle voitiin lähettää mielivaltaista laitedataa, joka näkyi vanhemman tai huoltajan sovelluksessa. Näin olisi ollut mahdollista väärentää tietoja lapsen puhelimen liikkeistä.

Kolmas keskeinen havainto koski HarmBlock+ -suojausten ohittamista. Tutkijan mukaan kaikki suojaukset oli mahdollista poistaa kokonaan palauttamalla laite tehdasasetuksiin Googlen Find My Device -palvelulla tai tavallisella ADB-komennolla.

Tämä on erityisen huomionarvoista, koska alustaa oli markkinoitu syvälle käyttöjärjestelmään upotettuna ratkaisuna, jota ei voisi ohittaa tai poistaa. Käytännössä nämä väitteet eivät pitäneet paikkansa.

Tutkija Mooren mukaan HMD on ilmoittanut tapauksesta Britannian tietosuojaviranomaiselle ICO:lle.

Käyttäjille ei kuitenkaan hänen mukaansa ole kerrottu haavoittuvuuksien luonteesta tai vaikutuksista. Sen sijaan sovellus ilmoittaa palvelun nyt olevan poissa käytöstä “ylläpidon ja tietoturvapäivitysten” vuoksi.

Moore katsoo, että vanhemmille pitäisi kertoa selvästi, mitä tapahtui, mitä tietoja on mahdollisesti voinut vaarantua ja mitä toimia heidän tulisi tehdä.

HMD esitteli Fusen elokuussa 2025. HMD Fusen sisältämän HarmBlock+:n kerrottiin estävän alastonkuvien kuvaamisen ja lähettämisen kuin myös vastaanottamisen. Alastonkuvien eston lisäksi puhelin on tarjonnut perinteisemmän hallinnan vanhemmille, mahdollistaen sovellusten hyväksymisen ja estämisen, käyttöaikarajoitukset, sijainnin seurannan sekä puhelujen ja viestien rajoittamisen valittuihin yhteystietoihin.

HMD markkinoi Fusea puhelimena, joka on suunniteltu kasvamaan lapsen kanssa niin, että lapsen kasvaessa sovelluksia ja ominaisuuksia voi vaiheittain avata käyttöön.

Tutkijan mukaan haavoittuvuudet olivat olemassa tuotteen julkaisusta lähtien ja vaikuttivat HarmBlock+ -alustan keskeiseen turvallisuusmalliin. Tarkempi tekninen analyysi on tutkijan mukaan tulossa.

Tutkija täsmentää, että HMD Fuse sisältää SafeToNetin kehittämän HarmBlock AI -teknologian, mutta hänen raportoimansa haavoittuvuudet koskevat HMD:n HarmBlock+ -toteutusta ja sitä ympäröivää alustaa. Sen sijaan löydökset eivät osoita heikkoutta itse HarmBlock AI -teknologiassa.

Kyse ei tutkijan mukaan ollut monimutkaisesta hakkeroinnista tai kehittyneestä hyökkäyksestä.

”Teknologia on perustavanlaatuisesti rikki jo suunnittelultaan, enkä parhaista yrityksistäni huolimatta pysty vakuuttamaan HMD:tä ryhtymään asianmukaisiin toimiin ja lopettamaan sen”, Moore toteaa. ”SafeToNetin Harmblock-tekoäly edustaa aitoa ja kipeästi kaivattua edistystä tällä alalla; ponnistusta, jonka tahraavat vastuuttomat yritykset, jotka eivät näytä välittävän turvallisuudesta tai yksityisyydestä millään merkityksellisellä tavalla”.

”Olen todella yrittänyt kaikkea viimeisten seitsemän kuukauden aikana; useista henkilökohtaisista tapaamisista myöhäisillan ryhmäpuheluihin ja pitkiin teknisiin keskusteluihin kaikkien asianosaisten kanssa. Valitettavasti ainoa vastuullinen seuraava askel on yksityiskohtainen selvitys, jotta vanhemmat/huoltajat voivat tehdä tietoon perustuvan päätöksen.”

HMD:lta odotetaan nyt tarkempaa selvitystä tapahtuneesta sekä siitä, onko haavoittuvuuksia onnistuttu hyväksikäyttämään.

Joka tapauksessa tapahtunut lyö vakavan lommon HMD:n maineeseen ja erityisesti uskottavuuteen tarjota tuotteita, joissa turvallisuudella on merkitystä. Tämä on vakavaa, sillä HMD on pyrkinyt mukaan myös viranomais- ja ammattilaismarkkinoille väitetysti turvallisilla laitteilla, kuten HMD Terra M -puhelimella ja HMD Ivalo XE -älypuhelimella.

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla