Несколько специалистов по безопасности сообщили, что смартфоны Xiaomi записывают активность пользователя в браузере и в самом телефоне. Данные отправляются на удаленные серверы, хостингом которых занимается Alibaba и которые арендует Xiaomi. Один из исследователей Габи Кирлиг назвал свой новый смартфон Xiaomi бэкдором с функциями телефона.
Кирлиг рассказал изданию Forbes, что его смартфон Redmi Note 8 записывал многое из того, что он делал в гаджете. Исследователь считает, что его личность и личная жизнь оказались раскрытыми перед китайской компанией.
Во время серфинга в стандартном браузере Xiaomi тот записывал все посещенные сайты. Также велась запись всех поисковых запросов, включая запросы в Google и DuckDuckGo. Смартфон хранил также информацию о просмотренных новостях в ленте новостей Xiaomi. Кирлиг говорит, что запись данных происходила также при работе в режиме инкогнито.
Помимо веб-активности смартфон Кирлига записывал, какие папки он открывал, какие экраны свайпал. Хранится также информация о статусной строке и странице настроек.
Кирлиг исследовал прошивки других смартфонов Xiaomi, включая Xiaomi Mi 10, Redmi K20, Mi MIX 3. Они имели такой же код браузера и такие же проблемы приватности.
На запрос Forbes другой исследователь Эндрю Тирни продолжил расследование и выяснил, что стандартные браузеры Xioami Mi Browser Pro и Mint Browser, доступные на Google Play, имеют вместе более 15 млн загрузок.
Также, говорит Кирлиг, есть проблема с безопасностью передачи собранных данных на серверы Xiaomi. Хотя данные шифруются, но используется слабое шифрование base64. Кирлигу понадобилось несколько секунд, чтобы получить информацию в пригодном для чтения виде.
В Xiaomi заявили, что результаты исследования ложные, а приватность и безопасность являются самой большой заботой. В своем заявлении компания также сказала, что тщательно следует и полностью выполняет местные законы по приватности пользователей. При этом спикер Xiaomi подтвердил, что данные веб-серфинга собирались, но информация была анонимизирована, а пользователи согласились на такой трекинг. Также в компании опровергли, что данные собирались в режиме инкогнито.
В Forbes показали представителю Xiaomi записанное Кирлигом видео, в котором он ввел в Google поисковый запрос porn и посетил сайт PornHub. Информация об этом была записана в режиме инкогнито и отправлена на удаленные серверы. Спикер Xiaomi продолжил отрицать, что данные собирались. По его словам, на видео был показан сбор анонимных данных, что является привычным ныне методом для улучшения программных продуктов.
Xiaomi входит в топ-4 крупнейших производителей смартфонов. Она уступает Apple, Samsung, Huawei.
