A publicação Reuters lançou um artigo de alerta sobre o fato de que o gigante chinês Xiaomi está gravando dados pessoais de milhões de pessoas sobre suas atividades online, bem como sobre o uso do dispositivo. "É um backdoor com funcionalidades do telefone", declarou, meio a brincadeira, Gabi Cirlig sobre seu novo smartphone Xiaomi.
Esse experiente pesquisador em cibersegurança conversou com jornalistas da Forbes após descobrir que seu smartphone Redmi Note 8 monitorava tudo o que ele fazia. Esses dados eram então enviados para servidores remotos, hospedados por outro gigante tecnológico chinês, Alibaba, que provavelmente é cliente da Xiaomi.
O senhor Cirlig descobriu que volumes alarmantes de informações sobre seu comportamento estavam sendo rastreadas, enquanto diferentes tipos de dados eram coletados do dispositivo — o especialista ficou apavorado ao saber que informações sobre sua identidade e vida privada estavam totalmente nas mãos da empresa chinesa.
Quando ele navegava em sites usando o navegador Xiaomi, que vem instalado por padrão no dispositivo, este registrava todos os sites visitados, incluindo consultas a motores de busca, seja Google ou DuckDuckGo, focado na privacidade. Também eram registrados todos os itens visualizados no feed de notícias da interface do Xiaomi. Vale ressaltar que toda essa vigilância funcionava mesmo quando o modo "incógnito" era ativado.
O dispositivo gravava quais pastas eram abertas, quais telas eram trocadas, mesmo quando se tratava da barra de status e da página de configurações do aparelho. Todos os dados eram enviados em pacotes para servidores remotos em Cingapura e na Rússia, embora os domínios da web servidores estivessem registrados em Pequim.
A pedido da Forbes, outro pesquisador em cibersegurança, Andrew Tierney, conduziu sua própria investigação. Ele também descobriu que os navegadores fornecidos pela Xiaomi no Google Play — Mi Browser Pro e Mint Browser — coletavam os mesmos dados. De acordo com as estatísticas do Google Play, juntos, eles foram instalados mais de 15 milhões de vezes, o que significa que milhões de dispositivos podem estar afetados.
Os problemas, como acredita o senhor Kirlig, estão relacionados a um número muito maior de modelos. Ele carregou firmware para outros telefones da Xiaomi, incluindo Xiaomi Mi 10, Xiaomi Redmi K20 e Xiaomi Mi MIX 3, e então confirmou que eles usam o mesmo navegador e provavelmente sofrem dos mesmos problemas de privacidade.
Parece haver dificuldades também em como a Xiaomi transmite dados para seus servidores. Embora a empresa chinesa afirme que os dados são criptografados, Gabi Kirlig descobriu que ele pode rapidamente ver o que foi carregado de seu dispositivo, pois utiliza um algoritmo de criptografia base64 bastante simples. Apenas alguns segundos foram necessários para converter pacotes de dados em fragmentos de informações legíveis. Ele também alertou: "Minha principal preocupação em relação à privacidade é que os dados enviados para servidores remotos são facilmente associados a um usuário específico."
Em resposta às conclusões dos especialistas mencionados, um representante da Xiaomi afirmou que as alegações sobre as pesquisas não são verdadeiras e que a privacidade e a segurança são de extrema importância, e a empresa cumpre rigorosamente e se conforma completamente com as leis e normas locais em relação a questões de dados pessoais dos usuários. No entanto, o representante confirmou que os dados de navegação são coletados, alegando que as informações são anônimas e não estão ligadas a nenhuma pessoa específica, e os usuários consentem com esse rastreamento.
Mas, como observam Gabi Kirlig e Andrew Tierney, não eram enviados apenas dados sobre os sites visitados ou buscas na internet para o servidor: a Xiaomi também coleta dados sobre o telefone, incluindo números únicos para identificar dispositivos específicos e a versão do Android. Esses metadados podem ser facilmente associados a uma pessoa real por trás da tela, se desejado.
Um representante da Xiaomi também rejeitou as alegações de que os dados de navegação são registrados no modo incógnito. No entanto, especialistas em segurança em seus testes independentes descobriram que seu comportamento online é enviado para servidores remotos independentemente do modo em que o navegador está operando, fornecendo tanto fotografias quanto vídeos como prova.
Quando os jornalistas da Forbes forneceram à Xiaomi um vídeo mostrando como buscas no Google e visitas a sites eram enviadas para servidores remotos, mesmo no modo anônimo, um representante da empresa continuou a negar que as informações eram registradas: "Este vídeo demonstra a coleta de dados anônimos sobre a navegação, que é uma das soluções mais comuns adotadas por empresas de internet para melhorar o ambiente geral no navegador através da análise de informações que não identificam pessoas."
No entanto, especialistas em segurança acreditam que o comportamento do navegador da Xiaomi é muito mais agressivo do que outros navegadores populares, como Google Chrome ou Apple Safari: os últimos não registram o comportamento do navegador, incluindo URLs, sem o consentimento explícito do usuário e no modo de navegação privada.
Além disso, em sua pesquisa, o Sr. Kirlig descobriu que o reprodutor de música pré-instalado nos smartphones da Xiaomi coleta informações sobre os hábitos de escuta: quais músicas são reproduzidas e quando.
Gabi Kirlig também suspeita que a Xiaomi monitora o uso de software, pois toda vez que ele abre aplicativos, pequenas informações são enviadas para um servidor remoto. Outro pesquisador anônimo, citado pela Forbes, afirmou que também registrou como os telefones da empresa chinesa coletam esses dados. A Xiaomi não comentou sobre isso.
Relata-se que os dados são enviados para a empresa de análise chinesa Sensors Analytics (também conhecida como Sensors Data), fundada em 2015, que se especializa na análise profunda do comportamento do usuário e na prestação de serviços de consultoria profissional. Seus ferramentas auxiliam os clientes a explorar dados ocultos por meio da análise de padrões de comportamento. Um representante da Xiaomi confirmou a conexão com a startup: "Embora a Sensors Analytics forneça uma solução de análise de dados para a Xiaomi, os dados anônimos coletados são armazenados nos próprios servidores da Xiaomi e não serão enviados para a Sensors Analytics ou qualquer outra empresa externa."
Fonte: 3dnews.ru
