Wydanie Reuters opublikowało artykuł ostrzegający, że chiński gigant Xiaomi zbiera dane osobowe milionów ludzi na temat ich aktywności w sieci oraz używania urządzeń. „To tylne wejście z funkcjonalnością telefonu” — powiedział pół żartem Gabi Cirlig o swoim nowym smartfonie Xiaomi.
Ten doświadczony badacz w zakresie cyberbezpieczeństwa rozmawiał z dziennikarzami Forbes, po tym jak odkrył, że jego smartfon Redmi Note 8 śledzi wszystko, co robi. Dane te były następnie wysyłane na zdalne serwery, które należą do innego chińskiego giganta technologicznego, Alibaba, który prawdopodobnie wynajmuje usługi Xiaomi.
Pan Cirlig odkrył, że śledzone były niepokojące ilości informacji o jego zachowaniu, podczas gdy jednocześnie zbierane były różne rodzaje danych z urządzenia — specjalista był przerażony, że dane osobowe i prywatne były w pełni znane chińskiej firmie.
Gdy przeglądał strony internetowe w przeglądarce Xiaomi, zainstalowanej domyślnie na urządzeniu, ta ostatnia zapisywała wszystkie odwiedzone strony, w tym zapytania wyszukiwarek, czy to Google, czy skupionej na prywatności DuckDuckGo, również zapisywała wszystkie elementy, które były przeglądane w strumieniu wiadomości Xiaomi. Całe to śledzenie działało nawet w trybie „incognito”.
Urządzenie rejestrowało, które foldery są otwierane, które ekrany są przełączane, nawet jeśli chodzi o pasek stanu i stronę ustawień urządzenia. Wszystkie dane były wysyłane pakietowo na zdalne serwery w Singapurze i Rosji, chociaż domeny internetowe serwerów były zarejestrowane w Pekinie.
Na prośbę Forbes inny badacz cyberbezpieczeństwa Andrew Tierney przeprowadził własne dochodzenie. Odkrył również, że przeglądarki dostarczane przez Xiaomi w Google Play — Mi Browser Pro i Mint Browser — zbierają te same dane. Zgodnie z danymi Google Play, zostały one zainstalowane ponad 15 milionów razy, co oznacza, że mogą być objęte miliony urządzeń.
Problemy, jak uważa pan Kirlig, dotyczą znacznie większej liczby modeli. Załadował oprogramowanie układowe dla innych telefonów Xiaomi, w tym Xiaomi Mi 10, Xiaomi Redmi K20 i Xiaomi Mi MIX 3, po czym potwierdził, że używają one identycznej przeglądarki i prawdopodobnie mają te same problemy z prywatnością.
Wygląda na to, że pojawiają się trudności również z tym, jak Xiaomi przekazuje dane na swoje serwery. Chociaż chińska firma twierdzi, że dane są szyfrowane, Gabi Kirlig odkrył, że może szybko zobaczyć to, co zostało przesłane z jego urządzenia, ponieważ do szyfrowania używany jest najprostszy algorytm base64. Wystarczyło tylko kilka sekund, aby przekształcić pakiety danych w czytelne fragmenty informacji. Ostrzegł również: „Moje główne obawy dotyczące prywatności polegają na tym, że dane wysyłane na zdalne serwery bardzo łatwo można powiązać z konkretnym użytkownikiem”.
W odpowiedzi na ustalenia wspomnianych specjalistów przedstawiciel Xiaomi poinformował, że twierdzenia dotyczące badania nie odpowiadają rzeczywistości, a prywatność i bezpieczeństwo mają fundamentalne znaczenie, przy czym firma ściśle przestrzega i całkowicie stosuje się do lokalnych przepisów i norm dotyczących kwestii danych osobowych użytkowników. Jednak przedstawiciel potwierdził, że dane o przeglądaniu są zbierane, twierdząc, że informacje są anonimowe i nie są powiązane z żadną osobą, a użytkownicy wyrażają zgodę na takie śledzenie.
Jednak, jak zauważają Gabi Kirlig i Andrew Tierney, na serwer wysyłane były informacje nie tylko o odwiedzanych stronach internetowych lub wyszukiwaniach w Internecie: Xiaomi gromadzi również dane o telefonie, w tym unikalne numery służące do identyfikacji konkretnego urządzenia oraz wersji Android. Takie metadane można przy odrobinie chęci łatwo powiązać z rzeczywistą osobą za ekranem.
Przedstawiciel Xiaomi również odrzucił twierdzenia, że dane o przeglądaniu są zapisywane w trybie incognito. Jednak specjaliści ds. bezpieczeństwa w swoich niezależnych testach odkryli, że ich zachowanie w Sieci jest przesyłane na zdalne serwery niezależnie od tego, w jakim trybie działa przeglądarka, dostarczając zarówno fotografie, jak i wideo jako dowody.
Kiedy dziennikarze Forbes przedstawili Xiaomi wideo, na którym widać, jak wyszukiwanie w Google i odwiedzane strony są przesyłane na zdalne serwery nawet w trybie incognito, przedstawiciel firmy nadal zaprzeczał, że informacje są rejestrowane: „To wideo demonstruje zbieranie anonimowych danych o przeglądaniu, co jest jednym z najbardziej powszechnych rozwiązań stosowanych przez firmy internetowe w celu poprawy ogólnego środowiska w przeglądarkach poprzez analizę informacji, które nie identyfikują tożsamości”.
Jednak specjaliści ds. bezpieczeństwa uważają, że zachowanie przeglądarki Xiaomi jest znacznie bardziej agresywne w porównaniu do innych popularnych przeglądarek, takich jak Google Chrome czy Apple Safari: te ostatnie nie rejestrują zachowania przeglądarki, w tym adresów URL, bez wyraźnej zgody użytkownika i w trybie prywatnym.
Ponadto w swoim badaniu Pan Kirlig odkrył, że wbudowany w smartfony Xiaomi odtwarzacz muzyczny zbiera informacje o nawykach słuchania: które utwory są odtwarzane i kiedy.
Gabi Kirlig podejrzewa również, że Xiaomi śledzi korzystanie z oprogramowania, ponieważ za każdym razem, gdy otwiera aplikacje, niewielkie informacje są przesyłane na zdalny serwer. Inny anonimowy badacz, na którego powołuje się Forbes, twierdził, że również rejestrował, jak telefony chińskiej firmy zbierają podobne dane. Xiaomi nie skomentowało tej sprawy.
Podano, że dane są przesyłane do chińskiej firmy analitycznej Sensors Analytics (znanej także jako Sensors Data), która została założona w 2015 roku i zajmuje się głęboką analizą zachowań użytkowników oraz świadczeniem profesjonalnych usług doradczych. Jej narzędzia pomagają klientom badać ukryte dane poprzez analizę kluczowych wzorców zachowań. Przedstawiciel Xiaomi potwierdził powiązania ze start-upem: „Choć Sensors Analytics dostarcza rozwiązania analizy danych dla Xiaomi, zebrane dane anonimowe są przechowywane na własnych serwerach serwerach Xiaomi i nie zostaną przekazane Sensors Analytics lub jakimkolwiek innym firmom zewnętrznym.”
Źródło: 3dnews.ru
