Xiaomi и без того регулярно оказывается в центре скандалов — то официальная инструкция по перепрошивке превращает фирменные аппараты в «кирпичи», то обновления приходится отзывать из-за багов, то выясняется, что фирменная зарядка теоретически позволяет взломать подключённое устройство. Теперь к списку претензий добавилась ещё одна, куда более серьёзная: компанию уличили в скрытой слежке за владельцами её смартфонов.
Что обнаружил исследователь
К такому выводу пришёл специалист по кибербезопасности Гэби Кёрлиг (Gabi Cîrlig). Он изучил прошивки нескольких моделей — Redmi Note 8, Xiaomi Mi 9T (он же Redmi K20), Xiaomi Mi 10 и Xiaomi Mi Mix 3 — и обнаружил, что все они непрерывно собирают информацию о действиях владельца. Про остальные модели Xiaomi и Redmi ничего сказать нельзя не потому, что они «чище», а просто потому, что исследователю не удалось получить их для теста.
Отправной точкой стало изучение фирменного браузера Mint Browser. Оказалось, что он фиксирует буквально все действия пользователя в сети — даже в режиме инкогнито — и отправляет их на серверы Xiaomi. Компания уверяет, что собираемые данные обезличиваются и шифруются исключительно для улучшения качества сервиса. Кёрлиг эту версию опроверг: «шифрование» на деле оказалось кодированием base64, которое расшифровывается без особого труда, а среди передаваемых данных присутствуют уникальные идентификаторы устройства, позволяющие установить личность владельца.
Насколько глубоко идёт сбор данных
Копнув дальше, исследователь выяснил, что по тому же принципу Xiaomi собирает практически всё: какие приложения устанавливает пользователь, какие папки создаёт, какие настройки меняет, как часто заряжает телефон, где перемещается и к каким точкам доступа Wi-Fi подключается. Такой объём телеметрии прямо противоречит собственной политике конфиденциальности компании, которая обещает не следить за пользователями без их ведома.
Как оказалось, получателем данных выступает не только сама Xiaomi, но и сторонняя компания Sensor Analytics — у неё есть серверы как в Китае, так и в России. Сбор происходит через встроенный в прошивку интерфейс SensorDataAPI, который каталогизирует действия пользователя и передаёт их для дальнейшего анализа. Xiaomi всё отрицает, но выводы Кёрлига подтвердил ещё один независимый исследователь — Эндрю Тирни (Andrew Tierney).
Зачем это нужно Xiaomi
Мотив вполне прозрачен: маржинальность большинства смартфонов Xiaomi держится на уровне 8–10%, тогда как у конкурентов она достигает 25–45%. На таких деньгах бизнес-модель, ориентированную только на продажу «железа», не построишь. Зато данные о привычках и предпочтениях миллионов пользователей — это мощный инструмент: их можно использовать для настройки сервисов, а можно и продавать рекламодателям, благо реклама в прошивке MIUI давно никого не удивляет.
Xiaomi продолжает настаивать, что тщательно заботится о приватности и собирает данные только в обезличенном виде, регулярно обновляя свою политику конфиденциальности. Но после публикации исследования доверять этим заявлениям стало заметно сложнее. Если компания действительно лишится возможности так плотно собирать данные о пользователях, не исключено, что расплачиваться за это придётся привычно низкими ценами на смартфоны — им будет попросту неоткуда взяться.
Источник: AndroidInsider.