A Forbes szerint a Xiaomi telefonok privát adatot továbbítottak kínai szerverekhez, amit a vállalat részben tagadott, majd kiadott egy bõvített Inkognitó módot tartalmazó frissítést.

Az utóbbi hónapokban rendszeresen érkeztek az Egyesült Államok és a kínai Huawei egyre elmérgesedõ viszonyát tárgyaló hírek, ám a telekommunikációs céget érintõ vádak alátámasztására, eddig még senki sem mutatott fel érdemi bizonyítékokat. Az viszont meglepõ, hogy egy másik kínai kínai tech-vállalat is hasonló aggályokat ébreszt a felhasználókban, legalábbis erre mutat rá a Forbes magazin legutóbbi jelentése, mely a Xiaomi mobilos böngészõjének megkérdõjelezhetõ háttértevékenységérõl rántotta le a leplet.

Két kutató is szolgált bizonyítékokkal

A beszámoló Gabriel Cirlig biztonsági kutató és szoftverfejlesztõ tapasztalataira épül, aki új Redmi Note 8 telefonját használva figyelt fel a kéretlen adatgyûjtésre. Cirlig szerint a készülék egészen aggasztó mennyiségben rögzítette böngészési mûveleteit, mindezt pedig egy jó adag egyéb begyûjtött információ társaságában, egyenesen az Alibaba nevû kínai óriásvállalat tulajdonában lévõ szerverek felé továbbította. A rögzített információk között szerepelt az össze meglátogatott weboldal, beleértve a Google-, illetve a privát szféra védelmérõl ismert DuckDuckGo motorokkal végzett kereséseket, továbbá minden megtekintés, ami a böngészõ saját hírfelületén keresztül ért el. Ami aggasztó, hogy mindez az úgynevezett „inkognitó mód” használata esetén is változatlanul megtörtént. Talán aproság, és nem is szokatlan, de a zenelejátszó alkalmazásuk is rögzít, konkétan a dalok címét és lejátszásuk idejét.

A böngészési adatok gyûjtése megfelelõ keretek között ma már nem számít újdonságnak, ám arról elvileg nem szól felhasználói szerzõdés, ami ezek után következett. A böngészési adatok mellett ugyanis rögzítésre került az összes telefonon megnyitott könyvtár, és az is, hogy milyen képernyõre váltottak át, az értesítõ fület és a Beállítások menüpontot is beleértve. A begyûjtött információk végül egy közös csomagban Szingapúr és Oroszország felé vették az irányt, Pekingben regisztrált domain címek felé. Ezek után Andrew Tierny kutató is beszállt, kinek további vizsgálódásaiból kiderült, hogy a Google Playbõl elérhetõ Mi Browser Pro és Mint Browser szintént ugyanezt a viselkedést produkálta. Érdekesség, hogy ezek együtt több mint 15 millió alkalommal kerültek letöltésre a Google áruházából. Cirlig szerint a Xiaomi MI 10, Xiaomi Redmi K20 és Xiaomi Mi MIX 3 eszközök firmwarjei ugyanezt a böngészõkódot használják, de magukat a készülékeket nem állt módjában ellenõrizni, azt viszont megerõsítette, hogy a már továbbított adatcsomagok csak a könnyen visszafejthetõ basa64 kódolás védelmét élvezhették, ami további aggodalomra adott okot.

A hivatalos rekció

A Xiaomi azóta többször is reagált a nyilvánosságra hozott adatokra és aggodalmakra vonatkozóan. A szóvivõik szerint a náluk „a magánélet és a biztonság a legfontosabb", továbbá kiemelték, hogy „semmilyen formában nem sértik a helyi törvényeket és szabályozásokat”, ugyanakkor részben elismerték az adatgyûjtést. Állításuk szerint az információk teljesen névtelenek, nem köthetõk konkrét személyhekhez, és az ilyen követésbe a felhasználók amúgy is beleegyeztek. Tagadták az inkognitó mód haszontalanságát, ahogy a készülék pontos meghatározását megkönnyítõ részletek begyûjtését is. A legfurcsább, hogy ez nem változott azután sem, hogy a Forbes munkatársai átadták az említett jelenséget bizonyító videóanyagokat, melyet mi is megosztunk. A cikk kitér egy másik kutatóra, aki szintén tapasztalt adatgyûjtést, ám érvényes titoktartási megegyezés miatt többet nem közölhet.


A Xiaomi legutóbbi bejegyzésben megerõsítette az adatgyûjtés általános és totálisan anonim voltát, de május 3-én végül kiadott egy frissítést az érintett böngészõk számára, az említett "inkognitó módok" bõvített változatával. Az opciók ki/be kapcsolásával rendelkezhetünk az összesített adatgyûjtés engedélyezésérõl, és eldönthetjük, szeretnénk-e böngészési információkat továbbítani a Xiaomi felé. Ahogy megjegyzik „hiszik, hogy ezzel túlteljesítik a biztonsági követelmények felé tanúsított elvárásokat, és demonstrálják elkötelezettségüket a felhasználói adatvédelem mellett.”