Vydání Reuters zveřejnilo varovný článek o tom, že čínský gigant Xiaomi shromažďuje osobní údaje milionů lidí o jejich aktivitách na internetu a používání zařízení. „To je zadní vrátka s funkcionalitou telefonu,“ uvedl s úsměvem Gabi Cirlig o svém novém smartphonu Xiaomi.
Tento zkušený výzkumník v oblasti kybernetické bezpečnosti hovořil s novináři Forbes poté, co zjistil, že jeho smartphone Redmi Note 8 sleduje vše, co dělá. Tyto údaje pak byly odesílány na vzdálené servery, umístěné u dalšího čínského technologického giganta Alibaba, které pravděpodobně pronajímá Xiaomi.
Pan Cirlig zjistil, že se zaznamenávaly znepokojivé objemy informací o jeho chování, zatímco byly současně shromažďovány různé druhy údajů z zařízení – odborník byl vyděšen tím, že informace o jeho osobnosti a soukromí byly zcela známy čínské společnosti.
Když procházel webové stránky v prohlížeči Xiaomi, který byl nainstalován jako výchozí na zařízení, ten poslední zaznamenával všechny navštívené stránky, včetně dotazů vyhledávačů, ať už šlo o Google nebo na ochranu soukromí orientovanou DuckDuckGo, také byly zaznamenány všechny prvky, které byly procházeny v news feedu uživatelského rozhraní Xiaomi. A tato špehování fungovala i když byl používán režim „inkognito“.
Zařízení zaznamenávalo, které složky se otevírají, jaké obrazovky se přepínají, dokonce i když šlo o stavový řádek a stránku nastavení přístroje. Všechny údaje byly dávkově odesílány na vzdálené servery v Singapuru a Rusku, i když webové domény servery byly registrovány v Pekingu.
Na žádost Forbes provedl další výzkumník v oblasti kybernetické bezpečnosti Andrew Tierney vlastní vyšetřování. Také zjistil, že prohlížeče dodávané Xiaomi v Google Play – Mi Browser Pro a Mint Browser – shromažďují stejné údaje. Podle statistik Google Play byly dohromady nainstalovány více než 15 milionkrát, což může ovlivnit miliony zařízení.
Podle pana Kirliga se problémy týkají mnohem většího počtu modelů. Načrtl firmware pro jiné telefony Xiaomi, včetně Xiaomi Mi 10, Xiaomi Redmi K20 a Xiaomi Mi MIX 3, po kterém potvrdil, že používají identický prohlížeč a pravděpodobně mají stejné problémy s ochranou soukromí.
Zdá se, že se objevují potíže také s tím, jak Xiaomi přenáší data na své servery. Ačkoli čínská společnost tvrdí, že data jsou šifrována, Gabi Kirlig zjistil, že může rychle vidět, co bylo nahráno z jeho zařízení, protože k šifrování se používá jednoduchý algoritmus base64. Stačilo jen pár sekund na to, aby se pakety dat převedly na čitelné kusy informací. Také varoval: „Můj hlavní obavy o soukromí spočívá v tom, že data zasílaná na vzdálené servery lze velmi snadno přiřadit konkrétnímu uživateli.“
V reakci na závěry uvedených odborníků zástupce Xiaomi uvedl, že tvrzení o výzkumech nejsou pravdivá a ochrana soukromí a bezpečnost mají prvořadý význam, přičemž společnost striktně dodržuje a plně se řídí místními předpisy a normami týkajícími se otázky osobních údajů uživatelů. Zástupce však potvrdil, že data o prohlížení se shromažďují, přičemž tvrdí, že informace jsou anonymní a nejsou spojeny s žádnou konkrétní osobou, a uživatelé dávají souhlas s takovým sledováním.
Jak poznamenávají Gabi Kirlig a Andrew Tierney, na server byla zasílána data nejen o navštívených webových stránkách nebo internetovém hledání: Xiaomi také shromažďuje údaje o telefonu, včetně jedinečných čísel pro identifikaci konkrétního zařízení a verze Androidu. Taková metadata lze snadno přiřadit skutečné osobě za obrazovkou.
Zástupce Xiaomi také odmítl tvrzení, že data o prohlížení jsou zaznamenávána v režimu inkognito. Nicméně bezpečnostní odborníci při svých nezávislých testech zjistili, že jejich chování na internetu je odesíláno na vzdálené servery bez ohledu na to, v jakém režimu prohlížeč funguje, a poskytli důkazy v podobě fotografií a videí.
Když novináři Forbes poskytli Xiaomi video, na kterém bylo ukázáno, jak vyhledávání na Googlu a návštěvy webových stránek jsou odesílány na vzdálené servery i v režimu inkognito, zástupce společnosti pokračoval v popírání, že by byly shromažďovány informace: „Toto video demonstruje sběr anonymních údajů o prohlížení, což je jedno z nejběžnějších řešení, která internetové společnosti přijímají pro zlepšení celkového prostředí v prohlížeči prostřednictvím analýzy informací, které neidentifikují osobu.“
Odborníci na bezpečnost však považují chování prohlížeče Xiaomi za mnohem agresivnější než u jiných populárních prohlížečů, jako jsou Google Chrome nebo Apple Safari: posledně jmenované nezaznamenávají chování prohlížeče, včetně URL adres, bez výslovného souhlasu uživatele a v režimu soukromého prohlížení.
Kromě toho ve své studii pan Kirlig zjistil, že předinstalovaný hudební přehrávač na telefonech Xiaomi shromažďuje informace o zvykách při poslechu: jaké skladby jsou přehrávány a kdy.
Gabi Kirlig také podezřívá, že Xiaomi sleduje používání softwaru, protože pokaždé, když otevře aplikace, jsou na vzdálený server odesílány malé informace. Další anonymní výzkumník, na kterého se odvolává Forbes, uvedl, že také zaznamenával, jak telefony čínské společnosti shromažďují podobná data. Xiaomi k tomu neposkytla žádné komentáře.
Je hlášeno, že data jsou odesílána na čínskou analytickou společnost Sensors Analytics (také známou jako Sensors Data), která byla založena v roce 2015 a zabývá se hloubkovou analýzou chování uživatelů a poskytováním profesionálních konzultačních služeb. Její nástroje pomáhají klientům zkoumat skrytá data prostřednictvím studia klíčových vzorců chování. Zástupce Xiaomi potvrdil spojení se startupem: „I když Sensors Analytics poskytuje řešení pro analýzu dat pro Xiaomi, shromážděné anonymní údaje jsou uchovávány na vlastních“ serverech „serverech Xiaomi a nebudou předány Sensors Analytics nebo jakýmkoli jiným třetím stranám.“
Zdroj: 3dnews.ru
