L'edizione di Reuters ha pubblicato un articolo avvertendo che il gigante cinese Xiaomi sta registrando i dati personali di milioni di persone sulle loro attività online, così come sull'uso del dispositivo. "È una backdoor con funzionalità telefoniche", ha dichiarato con una battuta Gabi Cirlig riguardo al suo nuovo smartphone Xiaomi.
Questo ricercatore esperto in sicurezza informatica ha parlato con i giornalisti di Forbes dopo aver scoperto che il suo smartphone Redmi Note 8 stava monitorando tutto ciò che faceva. Questi dati venivano poi inviati a server remoti ospitati da un altro gigante tecnologico cinese, Alibaba, che probabilmente è in affitto da Xiaomi.
Il signor Cirlig ha scoperto che venivano tracciati ingenti volumi di informazioni sul suo comportamento, mentre venivano raccolti vari tipi di dati dal dispositivo: il professionista era preoccupato che le informazioni sulla sua identità e sulla sua vita privata fossero completamente note all'azienda cinese.
Quando navigava su siti web con il browser Xiaomi predefinito sul dispositivo, quest'ultimo registrava tutti i siti visitati, comprese le query dei motori di ricerca, sia che si trattasse di Google o del più orientato alla privacy DuckDuckGo; venivano registrati anche tutti gli elementi visualizzati nel feed di notizie di Xiaomi. Inoltre, tutta questa sorveglianza funzionava anche quando si utilizzava la modalità "incognito".
Il dispositivo registrava quali cartelle venivano aperte, quali schermi venivano cambiati, anche per quanto riguarda la barra di stato e la pagina delle impostazioni dell'apparecchio. Tutti i dati venivano inviati in batch a server remoti a Singapore e in Russia, sebbene i domini web server fossero registrati a Pechino.
Su richiesta di Forbes, un altro ricercatore di sicurezza informatica, Andrew Tierney, ha condotto una propria indagine. Ha scoperto anche che i browser forniti da Xiaomi su Google Play, Mi Browser Pro e Mint Browser, raccolgono gli stessi dati. Secondo le statistiche di Google Play, insieme sono stati installati oltre 15 milioni di volte, il che significa che milioni di dispositivi potrebbero essere interessati.
Le problematiche, secondo il signor Cirlig, riguardano un numero molto maggiore di modelli. Ha scaricato firmware per altri telefoni Xiaomi, tra cui Xiaomi Mi 10, Xiaomi Redmi K20 e Xiaomi Mi MIX 3, confermando che utilizzano lo stesso browser e probabilmente hanno gli stessi problemi di privacy.
Sembra esserci anche una difficoltà nel modo in cui Xiaomi trasmette i dati ai propri server. Sebbene l'azienda cinese affermi che i dati siano criptati, Gabi Cirlig ha scoperto di poter vedere rapidamente ciò che era stato caricato dal suo dispositivo, perché per la crittografia viene utilizzato un algoritmo base64 molto semplice. Ci sono voluti solo pochi secondi per trasformare i pacchetti di dati in frammenti di informazioni leggibili. Ha inoltre avvertito: "La mia principale preoccupazione per la privacy è che i dati inviati ai server remoti possono essere facilmente associati a un utente specifico".
In risposta alle conclusioni di questi esperti, un rappresentante di Xiaomi ha dichiarato che le affermazioni sui risultati delle ricerche non corrispondono alla realtà e che la privacy e la sicurezza sono di fondamentale importanza, affermando che l'azienda rispetta e si attiene rigorosamente alle leggi e ai regolamenti locali riguardo ai dati personali degli utenti. Tuttavia, il rappresentante ha confermato che i dati sui visualizzazioni vengono raccolti, sostenendo che le informazioni sono anonime e non collegate a nessuna persona, e che gli utenti acconsentono a tale tracciamento.
Tuttavia, come fanno notare Gabi Cirlig e Andrew Tierney, le informazioni non vengono inviate solo sui siti web visitati o sulle ricerche in internet: Xiaomi raccoglie anche dati sul telefono, compresi numeri unici per l'identificazione specifica del dispositivo e delle versioni di Android. Questi metadati possono facilmente essere associati a una persona reale dietro lo schermo.
Il rappresentante di Xiaomi ha anche respinto le affermazioni secondo cui i dati sulle visualizzazioni vengono registrati in modalità incognito. Tuttavia, gli esperti di sicurezza nei loro test indipendenti hanno scoperto che il loro comportamento online viene inviato ai server remoti indipendentemente dalla modalità in cui il browser opera, fornendo sia fotografie che video come prova.
Quando i giornalisti di Forbes hanno mostrato a Xiaomi un video in cui si evidenziava come la ricerca su Google e la visita ai siti venissero indirizzate a server remoti anche in modalità incognito, un rappresentante dell'azienda ha continuato a negare che le informazioni venissero registrate: «Questo video dimostra la raccolta di dati anonimi sulle visualizzazioni, che è una delle soluzioni più comuni adottate dalle aziende internet per migliorare l'esperienza generale nel browser attraverso l'analisi di informazioni non identificative delle persone».
Tuttavia, gli esperti di sicurezza ritengono che il comportamento del browser Xiaomi sia molto più aggressivo rispetto ad altri browser popolari come Google Chrome o Apple Safari: questi ultimi non registrano il comportamento del browser, incluse le URL, senza esplicito consenso dell'utente e in modalità di navigazione privata.
Inoltre, nella sua ricerca, il signor Kirlig ha scoperto che il lettore musicale preinstallato sui telefoni Xiaomi raccoglie informazioni sulle abitudini d'ascolto: quali canzoni vengono riprodotte e quando.
Gabi Kirlig sospetta anche che Xiaomi monitori l'uso delle app, poiché ogni volta che si aprono delle applicazioni, piccole informazioni vengono inviate a un server remoto. Un altro ricercatore anonimo, citato da Forbes, ha dichiarato di aver registrato come i telefoni dell'azienda cinese raccolgano dati simili. Xiaomi non ha rilasciato commenti a riguardo.
Si riporta che i dati vengano inviati alla società analitica cinese Sensors Analytics (nota anche come Sensors Data), fondata nel 2015, che si occupa di analisi approfondita del comportamento degli utenti e fornisce servizi di consulenza professionale. I suoi strumenti aiutano i clienti a esplorare dati nascosti studiando modelli comportamentali chiave. Un rappresentante di Xiaomi ha confermato il legame con la startup: «Anche se Sensors Analytics fornisce una soluzione di analisi dei dati per Xiaomi, i dati anonimi raccolti rimangono di proprietà di Xiaomi. server e non verranno trasferiti a Sensors Analytics o ad altre aziende terze».
Fonte: 3dnews.ru
