A Reuters kiadott egy figyelmeztető cikket arról, hogy a kínai óriás Xiaomi személyes adatokat gyűjt milliók online tevékenységeiről, valamint az eszköz használatáról. „Ez egy telefon funkciókkal rendelkező hátsó ajtó” - mondta félig viccesen Gabi Cirlig az új Xiaomi okostelefonjáról.
Ez a tapasztalt kiberbiztonsági kutató beszélt a Forbes újságíróival, miután felfedezte, hogy a Redmi Note 8 okostelefonja mindent figyel, amit csinál. Ezeket az adatokat ezután egy másik kínai technológiai óriás, az Alibaba távoli szervereire küldték, amelyeket valószínűleg a Xiaomi bérel.
Mr. Cirlig felfedezte, hogy aggasztó mennyiségű információt gyűjtöttek a viselkedéséről, miközben egyidejűleg különféle adatokat gyűjtöttek az eszközről - a szakember megdöbbenve tapasztalta, hogy személyes adatai és magánélete teljesen ismertek voltak a kínai cég számára.
Amikor a Xiaomi alapértelmezett böngészőjében webhelyeket nézett, az minden meglátogatott weboldalt rögzített, beleértve a keresőmotorok, például a Google vagy a DuckDuckGo keresősaját működését, valamint a Xiaomi felület hírcsatornájában megtekintett elemeket is rögzítette. Ez a megfigyelés még az inkognitó módban is működött.
Az eszköz rögzítette, hogy milyen mappákat nyitnak meg, melyik képernyők váltanak, akár a státussorozatról, akár a készülék beállítási oldaláról van szó. Minden adat csomagokban küldődött a távoli szerverekre Szingapúrba és Oroszországba, bár a webdomainok szerverek Pekingben lettek regisztrálva.
A Forbes kérésére egy másik kiberbiztonsági kutató, Andrew Tierney saját nyomozást végzett. Ő is felfedezte, hogy a Xiaomi Google Playen elérhető böngészői - a Mi Browser Pro és a Mint Browser - ugyanezeket az adatokat gyűjtik. A Google Play statisztikái szerint együtt több mint 15 millió alkalommal telepítették őket, tehát milliók készüléke érintett lehet.
Kiríg úr szerint a problémák sokkal több modellt érintenek. Feltöltötte más Xiaomi telefonok firmware-jét, beleértve a Xiaomi Mi 10-et, a Xiaomi Redmi K20-at és a Xiaomi Mi MIX 3-at, majd megerősítette, hogy ezek az azonos böngészőt használják, és valószínűleg ugyanazokkal a magánéleti problémákkal küzdenek.
Úgy tűnik, hogy nehézségek merülnek fel abban is, hogy a Xiaomi hogyan továbbítja az adatokat a szervereikre. Bár a kínai vállalat azt állítja, hogy az adatok titkosítva vannak, Gabi Kiríg felfedezte, hogy gyorsan láthatja, mi lett feltöltve az eszközéről, mert a titkosításhoz a legegyszerűbb base64 algoritmust használják. Csak néhány másodpercre volt szüksége ahhoz, hogy az adatcsomagokat olvasható információs szilánkokká alakítsa. Azt is figyelmeztette: „A legfőbb aggasztásom a magánélet védelmét illetően az, hogy az eltávolított szerverekre küldött adatok nagyon könnyen összekapcsolhatók egy adott felhasználóval.”
A szakértők állításaira válaszul a Xiaomi képviselője elmondta, hogy a kutatásokkal kapcsolatos állítások nem állják meg a helyüket, a magánélet és a biztonság elsődleges fontosságú, és a vállalat szigorúan betartja és teljes mértékben megfelel a helyi jogszabályoknak és normáknak a felhasználók személyes adataival kapcsolatos kérdésekben. Ugyanakkor a képviselő megerősítette, hogy az adatokat gyűjtik, azt állítva, hogy az információ anonim és nem kapcsolódik személyhez, ráadásul a felhasználók beleegyeznek az ilyen nyomon követésbe.
De, ahogy Gabi Kiríg és Andrew Tierney megjegyzik, a szerverre nemcsak a meglátogatott weboldalakról vagy az internetes keresésről küldtek adatokat: a Xiaomi telefonadatokat is gyűjt, beleértve a konkrét eszközazonosítók és az Android verzió egyedi számát is. Ezek a metaadatok könnyen azonosíthatók egy valós személyként.
A Xiaomi képviselője elutasította azt az állítást, hogy az incognito mód alatt az adatokat rögzítik. Azonban a biztonsági szakértők független tesztjeik során felfedezték, hogy a hálózati viselkedésük bármilyen böngészőmódban eltávolított szerverekre kerül, fényképekkel és videókkal bizonyítékokat szolgáltatva.
Amikor a Forbes újságírói bemutatták a Xiaomi-nak egy videót, amelyben azt mutatták be, hogyan küldenek a Google keresések és weboldalak meglátogatása távoli szerverekre még inkognitó módban is, a cég képviselője továbbra is tagadta, hogy információk gyűjtésére kerülne sor: „Ez a videó a böngészés során gyűjtött névtelen adatok összegyűjtését mutatja be, ami az internetes cégek egyik legelterjedtebb megoldása a böngésző általános környezetének javítására, anonim azonosítók nélküli adatok elemzésével.”
A biztonsági szakértők azonban úgy vélik, hogy a Xiaomi böngészőjének viselkedése sokkal agresszívebb, mint más népszerű böngészőké, mint például a Google Chrome vagy az Apple Safari: az utóbbiak nem rögzítik a böngészési viselkedést, beleértve az URL-címeket is, a felhasználó egyértelmű hozzájárulása nélkül, valamint privát böngészés módban sem.
Ezen kívül Kirlig úr kutatásában azt is felfedezte, hogy a Xiaomi okostelefonokra előtelepített zenelejátszó információkat gyűjt a hallgatási szokásokról: milyen dalokat játszanak le és mikor.
Gabi Kirlig azt is gyanítja, hogy a Xiaomi figyelemmel kíséri a szoftverhasználatot, mivel minden alkalommal, amikor megnyit egy alkalmazást, kis mennyiségű információt küldenek el egy távoli szerverre. Egy másik névtelen kutató, akire a Forbes hivatkozott, azt állította, hogy ő is regisztrálta, ahogyan a kínai cég telefonjai hasonló adatokat gyűjtenek. A Xiaomi nem fűzött megjegyzést ehhez.
Jelentések szerint az adatok a Sensors Analytics nevű kínai elemző céghez jutnak el (amelyet 2015-ben alapítottak), amely a felhasználói viselkedés mélyreható elemzésére és professzionális tanácsadói szolgáltatások nyújtására specializálódott. Eszközeik segítenek az ügyfeleknek a rejtett adatok feltárásában a viselkedési minták tanulmányozásával. A Xiaomi képviselője megerősítette a startup-al való kapcsolatot: „Bár a Sensors Analytics adat-elemző megoldásokat kínál a Xiaomi számára, az összegyűjtött névtelen adatokat saját,” szervereken „Xiaomi nem osztja meg a Sensors Analytics-szal vagy más harmadik fél cégekkel.”
Forrás: 3dnews.ru
