Xiaomi szpieguje właścicieli smartfonów? Pojawiły się poważne oskarżenia

"Forbes" opublikował artykuł przedstawiający bardzo poważne oskarżenia w stronę Xiaomi. Ekspert ds. cyberbezpieczeństwa Gabi Cirlig udowodnił, że jego Redmi Note 8 przesyłał informacje o tym co robi w sieci i na smartfonie na zdalne serwery Alibaby, rzekomo wynajęte przez Xiaomi. Chiński producent zaprzecza oskarżeniom.

Ekspert wykrył szereg niepokojących procesów, wykonywanych przez urządzenia marki Xiaomi. Gabi Cirlig zauważył, że z jego urządzenia są wysyłane niepokojące ilości pakietów. Ustalił, że podstawowa przeglądarka Xiaomi rejestrowała cały jego ruch po internecie. Niezależnie, czy korzystał z wyszukiwarki Google czy DuckDuckGo.

Każde wyświetlenie strony internetowej było rejestrowane i wysyłane na zdalne serwery. Co więcej proces działał nawet w momencie, gdy Gabi korzystał z trybu incognito. To jednak jeszcze nie wszystko. Urządzenie zapisywało także z których folderów korzystał użytkownik, oraz pomiędzy jakimi ekranami się przełączał.

Dane następnie były pakowane i zabezpieczane bardzo prostym kodem - Base64. Jego złamanie zajęło Cirligowi kilka sekund. Urządzenie wysyłało wszystkie zapisy na zdalne serwery mieszczące się w Rosji oraz Singapurze, których witryny były zarejestrowane w Pekinie.

Forbes zlecił innemu ekspertowi ds. cyberbezpieczeństwa analizę przeglądarek internetowych Xiaomi. Andrew Tierney wykrył dwie aplikacje, które operowały identycznym kodem. Obydwie są dostępne w Sklepie Play Google - Mi Brower Pro oraz Mint Browser. Każda z nich pobierała i wysyłała te same dane, a zainstalowano je 15 milionów razy.

Problem wykryty przez Cirliga nie dotyczy tylko Redmi Note 8. Ekspert sprawdził oprogramowanie dla innych telefonów i wykrył identyczny proces. Ten sam kod przeglądarki znajdował się w Xiaomi Mi 10, Xiaomi Redmi K20 i Xiaomi Mi MIX 3. To może sugerować, że każdy ze smartfonów tej chińskiej marki robi z danymi użytkownika dokładnie to samo.

Po publikacji artykułu otrzymaliśmy od biura prasowego Xiaomi oświadczenie w sprawie artykułu Forbesa i postanowiliśmy je opublikować.

"Xiaomi jest zaniepokojone tym co przeczytało w artykule opublikowanym przez Forbes. Firma uważa, że została źle zrozumiana w związku z tym, co przekazała odnośnie zasad związanych z polityką prywatności danych. Prywatność i bezpieczeństwo internetowe naszych użytkowników są najwyższym priorytetem w Xiaomi. Jesteśmy przekonani, że ściśle przestrzegamy i stosujemy się do lokalnych przepisów i regulacji. Jesteśmy w kontakcie z Forbes, by wyjaśnić tę niefortunną, błędną interpretację."

Forbes przedstawił zebrane przez Cirilga i Tierneya dane przedstawicielom marki Xiaomi. W odpowiedzi na zarzuty, rzecznik prasowy chińskiej firmy stwierdził, że są one niezgodne z prawdą. Poinformował, że wnioski z przeprowadzonych analiz są nieprawdziwe. Zaprzeczył także, jakoby urządzenia Xiaomi mogły analizować, co robi użytkownik w trybie incognito.

Rzecznik potwierdził jednak, że urządzenie zbierało dane o ruchu sieciowym. Twierdził jednak, ze były to całkowicie anonimowe informacje, a użytkownicy wyrazili zgodę na ich przetwarzanie. Eksperci mówią jednak co innego. Na serwery wysyłano również metadane, które w łatwy sposób mogą być wykorzystane do potwierdzenia tożsamości użytkownika.

Obaj eksperci zgodnie stwierdzili, że zachowanie przeglądarki Xiaomi jest najbardziej inwazyjnym procesem jaki widzieli w swojej karierze. Dane zbierane przez Google Chrome czy Safari od Apple to przy tym błahostka. Uważają, że taki rodzaj szpiegowania użytkowników bez wyraźnej informacji o tym jest tak złe, jak to tylko możliwe.