Izdanje Reutersa objavilo je upozoravajući članak o tome kako kineski gigant Xiaomi prikuplja osobne podatke milijuna ljudi o njihovim aktivnostima na internetu, kao i o korištenju uređaja. "To je stražnja vrata s funkcionalnošću telefona", izjavio je polušaleći Gabi Cirlig o svom novom Xiaomi pametnom telefonu.
Ovaj iskusni istraživač u području cyber sigurnosti razgovarao je s novinarima Forbesa nakon što je otkrio da njegov Redmi Note 8 prati sve što radi. Ovi podaci potom su se slali na udaljene servere, smještene kod drugog kineskog tehnološkog giganta Alibabe, koji vjerojatno iznajmljuje Xiaomi.
Gospodin Cirlig otkrio je da su se prikupljali alarmantni volumeni podataka o njegovom ponašanju, dok su se istovremeno prikupljali razni tipovi podataka s uređaja — stručnjak je bio prestravljen time što su podaci o njegovom identitetu i privatnosti bili potpuno poznati kineskoj kompaniji.
Kada je pregledavao web stranice u Xiaomi zadanom pregledniku, posljednji je bilježio sve posjećene stranice, uključujući pretraživačke upite, bilo da je riječ o Googleu ili na privatnost orijentiranom DuckDuckGo, kao i sve elemente koje je pregledavao u novinskom feedu Xiaomi sučelja. Pri tom, sve ovo praćenje radilo je čak i kada je korišten režim "inkognito".
Uređaj je bilježio koje mape se otvaraju, koje se stranice prebacuju, čak i ako je riječ o statusnoj traci i stranici s postavkama uređaja. Svi su podaci slani paketno na udaljene servere u Singapuru i Rusiji, iako su web domene poslužitelja bile registrirane u Pekingu.
Na zahtjev Forbesa, drugi istraživač u cyber sigurnosti Andrew Tierney proveo je vlastitu istragu. Također je otkrio da preglednici koje Xiaomi nudi na Google Playu — Mi Browser Pro i Mint Browser — prikupljaju iste podatke. Prema statistikama Google Playa, zajedno su instalirani više od 15 milijuna puta, što znači da bi moglo biti pogođeno milijune uređaja.
Problemi, kako smatra gospodin Kirlig, odnose se na znatno veći broj modela. Preuzeo je firmware za druge Xiaomi telefone, uključujući Xiaomi Mi 10, Xiaomi Redmi K20 i Xiaomi Mi MIX 3, nakon čega je potvrdio da koriste identičan preglednik i vjerojatno imaju iste probleme s privatnošću.
Izgleda da postoji i poteškoća u načinu na koji Xiaomi prenosi podatke na svoje poslužitelje. Iako kineska kompanija tvrdi da su podaci šifrirani, Gabi Kirlig otkrio je da može brzo vidjeti što je preuzeto s njegovog uređaja, jer se koristi jednostavni algoritam base64 za šifriranje. Trebalo je samo nekoliko sekundi da se paketi podataka pretvore u čitljive dijelove informacija. Također je upozorio: 'Moja glavna briga u vezi s privatnošću je to što se podaci koji se šalju na udaljene poslužitelje vrlo lako povezuju s određenim korisnikom.'
U odgovoru na zaključke navedenih stručnjaka, predstavnik Xiaomija izjavio je da tvrdnje o istraživanjima nisu točne, a privatnost i sigurnost imaju prioritet, pri čemu kompanija strogo poštuje i u potpunosti se pridržava lokalnih zakona i propisa koji se odnose na osobne podatke korisnika. No, predstavnik je također potvrdio da se prikupljaju podaci o pregledima, tvrdeći da su informacije anonimne i nisu povezane ni s jednom osobom, a korisnici pristaju na takvo praćenje.
Međutim, kako navode Gabi Kirlig i Andrew Tierney, na poslužitelj su slane informacije ne samo o posjećenim web stranicama ili pretraživanju interneta: Xiaomi također prikuplja podatke o telefonu, uključujući jedinstvene brojeve za identifikaciju određenog uređaja i verziju Androida. Takvi metapodaci lako se mogu povezati s stvarnom osobom izvan ekrana ako se to želi.
Predstavnik Xiaomija također je odbacio tvrdnje da se podaci o pregledima bilježe u incognito načinu. Ipak, stručnjaci za sigurnost otkrili su u svojim neovisnim testovima da njihovo ponašanje na mreži šalje na udaljene poslužitelje bez obzira na to u kojem načinu preglednika rade, pružajući kao dokaze i fotografije i videozapise.
Kada su novinari Forbesa predstavili video sa Xioami-jem, u kojem se pokazuje kako pretraživanje na Googleu i posjećivanje web stranica šalju podatke na udaljene servere čak i u incognito modu, predstavnik kompanije je i dalje negirao da se informacije snimaju: „Ovaj video prikazuje prikupljanje anonimnih podataka o pretraživanju, što je jedno od najčešćih rješenja koje internet kompanije koriste za poboljšanje cjelokupnog okruženja u pregledniku analizom informacija koje ne identifikuju osobu."
Međutim, stručnjaci za sigurnost smatraju da je ponašanje preglednika Xiaomi mnogo agresivnije u odnosu na druge popularne preglednike poput Google Chromea ili Apple Safari: potonji ne snimaju ponašanje preglednika, uključujući URL adrese, bez izričitog pristanka korisnika i u načinu privatnog pregleda.
Pored toga, u svom istraživanju gospon Kirlig je otkrio da unaprijed instalirani muzički plejer na Xiaomi pametnim telefonima prikuplja informacije o navikama slušanja: koje se pjesme puštaju i kada.
Gabi Kirlig također sumnja da Xiaomi prati korištenje softvera, budući da se svaki put kada otvori aplikacije, mala količina informacija šalje na udaljeni server. Drugi anonimni istraživač, na kojeg se poziva Forbes, izjavio je da je također registrovao kako telefoni kineske kompanije prikupljaju slične podatke. Xiaomi nije dao komentare o ovom pitanju.
Izvještava se da se podaci šalju kineskoj analitičkoj firmi Sensors Analytics (također poznatoj kao Sensors Data), koja je osnovana 2015. godine i bavi se dubokom analizom ponašanja korisnika te pružanjem profesionalnih savjetodavnih usluga. Njihovi alati pomažu klijentima da istraže skrivene podatke putem analize ključnih obrazaca ponašanja. Predstavnik Xiaomi-a potvrdio je povezanost sa start-upom: „Iako Sensors Analytics pruža rješenje za analizu podataka za Xiaomi, prikupljeni anonimni podaci se čuvaju na vlastitim poslužiteljima Xiaomi-ju i neće biti predani Sensors Analytics-u ili bilo kojim drugim trećim stranama."
Izvor: 3dnews.ru
