Фахівець з безпеки про смартфони Xiaomi: це бекдор з функціями телефона

Кілька фахівців з безпеки повідомили, що смартфони Xiaomi записують активність користувача у браузері та в самому телефоні. Дані відправляються на віддалені сервери, хостингом яких займається Alibaba та які арендує Xiaomi. Один із дослідників Габі Кірліг назвав свій новий смартфон Xiaomi бекдором з функціями телефона.

Кірліг розповів виданню Forbes, що його смартфон Redmi Note 8 записував багато з того, що він робив у гаджеті. Дослідник вважає, що його особистість та приватне життя виявилося розкритим перед китайською компанією.

Під час серфінгу у стандартному браузері Xiaomi той записував всі відвідані сайти. Також вівся запис усіх пошукових запитів, разом із запитами в Google та DuckDuckGo. Смартфон зберігав також інформацію про переглянуті новини у стрічці новин Xiaomi. Кірліг говорить, що запис даних відбувався також при роботі в режимі інкогніто.

Окрім веб-активності смартфон Кірліга записував, які папки він відкривав, які екрани свайпав. Зберігається також інформація про статусний рядок та сторінку налаштувань.

Кірліг дослідив прошивки інших смартфонів Xiaomi, із Xiaomi Mi 10, Redmi K20, Mi MIX 3 включно. Вони мали такий же код браузера і такі ж проблеми приватності.

На запит Forbes інший дослідник Ендрю Тірні продовжив розслідування і з’ясував, що стандартні браузери Xioami Mi Browser Pro та Mint Browser, доступні на Google Play, мають разом понад 15 млн завантажень.

Також, каже Кірліг, є проблема із безпекою пересилання зібраних даних на сервери Xiaomi. Хоча дані шифруються, але використовується слабке шифрування base64. Кірлігу знадобилося кілька секунд, щоб отримати інформацію в придатному для читання вигляді.

У Xiaomi заявили, що результати дослідження неправдиві, а приватність та безпека є найбільшою турботою. У своїй заяві компанія також сказала, що ретельно дотримується і повністю виконує місцеві закони з приватності користувачів. При цьому спікер Xiaomi підтвердив, що дані веб-серфінгу збиралися, але інформація була анонімізована, а користувачі згодилися на такий трекінг. Також у компанії заперечили, що дані збиралися в режимі інкогніто.

У Forbes показали представникові Xiaomi записане Кірлігом відео, в якому він ввів у Google пошуковий запит porn та відвідав сайт PornHub. Інформація про це була записана в режимі інкогніто та відправлена на віддалені сервери. Спікер Xiaomi продовжив заперечувати, що дані збиралися. За його словами, на відео було показано збирання анонімних даних, що є звичним нині методом для поліпшення програмних продуктів.

Xiaomi входить у топ-4 найбільших виробників смартфонів. Вона поступається Apple, Samsung, Huawei.