L'agenzia Reuters ha pubblicato un articolo di avvertimento riguardo al fatto che il gigante cinese Xiaomi registra i dati personali di milioni di persone sulle loro attività online e sull'uso del dispositivo. "È un backdoor con funzionalità telefoniche", ha dichiarato scherzando Gabi Kirlig riguardo al suo nuovo smartphone Xiaomi.
Questo ricercatore esperto di cybersecurity ha parlato con i giornalisti di Forbes dopo aver scoperto che il suo smartphone Redmi Note 8 teneva traccia di ogni cosa che faceva. Questi dati venivano poi inviati a server remoti, ospitati da un altro gigante tecnologico cinese, Alibaba, che probabilmente è affittato da Xiaomi.
Il signor Kirlig ha scoperto che venivano monitorati volumi allarmanti di dati sul suo comportamento, mentre venivano raccolti vari tipi di dati dal dispositivo: lo specialista era spaventato dal fatto che le informazioni sulla sua identità e vita privata fossero completamente note alla compagnia cinese.
Quando navigava su siti web tramite il browser Xiaomi, impostato come predefinito sul dispositivo, quest'ultimo registrava tutti i siti visitati, comprese le query dei motori di ricerca, sia che si trattasse di Google o del privacy-oriented DuckDuckGo, registrava anche tutti gli elementi visualizzati nel feed di notizie dell'interfaccia Xiaomi. Tutta questa sorveglianza avveniva anche quando era attivata la modalità "incognito".
Il dispositivo registrava quali cartelle venivano aperte, quali schermi venivano cambiati, anche nel caso si trattasse della barra di stato e della pagina delle impostazioni del dispositivo. Tutti i dati venivano inviati in pacchetti a server remoti a Singapore e in Russia, anche se i domini web server erano registrati a Pechino.
Su richiesta di Forbes, un altro ricercatore di cybersecurity, Andrew Tierney, ha condotto la propria indagine. Ha anche scoperto che i browser forniti da Xiaomi su Google Play, Mi Browser Pro e Mint Browser, raccolgono gli stessi dati. Secondo le statistiche di Google Play, insieme sono stati installati più di 15 milioni di volte, il che significa che milioni di dispositivi potrebbero essere interessati.
I problemi, secondo il signor Kirlig, riguardano un numero molto maggiore di modelli. Ha caricato il firmware per altri telefoni Xiaomi, tra cui Xiaomi Mi 10, Xiaomi Redmi K20 e Xiaomi Mi MIX 3, dopo di che ha confermato che utilizzano lo stesso browser e probabilmente presentano gli stessi problemi di privacy.
Sembra che ci siano anche difficoltà su come Xiaomi invia i dati ai propri server. Sebbene l'azienda cinese affermi che i dati siano crittografati, Gabi Kirlig ha scoperto che può rapidamente vedere ciò che è stato caricato dal suo dispositivo, poiché per la crittografia viene utilizzato un semplice algoritmo base64. Ci sono voluti solo pochi secondi per convertire i pacchetti di dati in frammenti di informazioni leggibili. Ha anche avvertito: «La mia principale preoccupazione per la privacy è che i dati inviati a server remoti possono essere facilmente associati a un utente specifico».
In risposta alle conclusioni dei suddetti esperti, un rappresentante di Xiaomi ha dichiarato che le affermazioni sulle ricerche non corrispondono alla realtà e che la privacy e la sicurezza sono primordiali, e che l'azienda rispetta rigorosamente e si conforma pienamente alle leggi e norme locali riguardanti le questioni dei dati personali degli utenti. Tuttavia, il rappresentante ha confermato che vengono raccolti dati sulle visioni, affermando che le informazioni sono anonime e non collegate a nessuna persona, e che gli utenti concedono il consenso a tale tracciamento.
Tuttavia, come notano Gabi Kirlig e Andrew Tierney, le informazioni inviate ai server non riguardano solo i siti web visitati o la ricerca su Internet: Xiaomi raccoglie anche dati sul telefono, compresi numeri unici per identificare dispositivi specifici e la versione di Android. Questi metadati possono facilmente essere associati a una persona reale dietro lo schermo.
Un rappresentante di Xiaomi ha anche respinto le affermazioni secondo cui i dati delle visioni vengono registrati in modalità privata. Tuttavia, gli esperti di sicurezza hanno scoperto nei loro test indipendenti che il loro comportamento online viene inviato a server remoti indipendentemente dalla modalità in cui funziona il browser, fornendo sia fotografie che video come prova.
Quando i giornalisti di Forbes hanno fornito a Xiaomi un video che mostrava come la ricerca su Google e la visita ai siti venissero inviate a server remoti anche in modalità incognito, un rappresentante dell'azienda ha continuato a negare che le informazioni venissero registrate: «Questo video dimostra la raccolta di dati anonimi sulle visualizzazioni, che è una delle soluzioni più comuni adottate dalle aziende internet per migliorare l'ambiente generale nel browser attraverso l'analisi di informazioni non identificative».
Tuttavia, gli esperti di sicurezza ritengono che il comportamento del browser Xiaomi sia molto più aggressivo rispetto ad altri browser popolari come Google Chrome o Apple Safari: questi ultimi non registrano il comportamento del browser, inclusi gli URL, senza il consenso esplicito dell'utente e in modalità di navigazione privata.
Inoltre, nella sua ricerca, il signor Kirlig ha scoperto che il lettore musicale preinstallato sugli smartphone Xiaomi raccoglie informazioni sulle abitudini di ascolto: quali canzoni vengono riprodotte e quando.
Gabi Kirlig sospetta anche che Xiaomi monitori l'uso delle applicazioni, poiché ogni volta che apre un'app, piccole informazioni vengono inviate a un server remoto. Un altro ricercatore anonimo, citato da Forbes, ha dichiarato di aver registrato come i telefoni dell'azienda cinese raccogliessero tali dati. Xiaomi non ha rilasciato commenti al riguardo.
Si riporta che i dati vengono inviati all'azienda analitica cinese Sensors Analytics (nota anche come Sensors Data), fondata nel 2015 e che si occupa di approfondita analisi del comportamento degli utenti e fornitura di servizi di consulenza professionale. I suoi strumenti aiutano i clienti a esplorare dati nascosti attraverso lo studio di schemi comportamentali chiave. Un rappresentante di Xiaomi ha confermato il legame con la startup: «Sebbene Sensors Analytics offra una soluzione per l'analisi dei dati per Xiaomi, i dati anonimi raccolti vengono conservati sui propri server Xiaomi e non saranno trasferiti a Sensors Analytics o ad altre aziende terze».
Fonte: 3dnews.ru
