Китайская компания Xiaomi — одна из тех, что выпускают недорогие и при этом технически продвинутые смартфоны и планшеты, — оказалась в центре разгорающегося скандала. Один из пользователей гонконгского форума IMA Mobile, протестировав вышедшую недавно модель смартфона Xiaomi Redmi Note, с удивлением для себя обнаружил, что устройство якобы продолжает выгружать на удаленный сервер данные даже после принудительного отключения синхронизации с облачным сервисом Mi Cloud. Произведенный владельцем устройства анализ показал, что смартфон находится на связи с неким пекинским IP-адресом постоянно: при соединении по Wi-Fi-сети он активно отправляет на него данные, а при переключении на 3G просто поддерживает подключение.

Обнаруживший утечку владелец смартфона Кенни Ли (Kenny Li) утверждает, что слив информации из памяти возобновляется даже после перепрошивки устройства другой версией Android ROM. Причем отправляемые на неизвестные серверы данные включают в себя не только сохраненные в памяти фотографии, но и набранные на девайсе тексты. При этом, если верить сделанным ранее заявлениям самой Xiaomi, пользовательские данные действительно хранятся на серверах в Китае, но только при условии согласия пользователя. Является ли продолжающийся даже после отключения соответствующей опции бэкап следствием банальной ошибки в коде или это намеренно встроенная незадокументированная возможность (а может, и вовсе дезинформация) — вопрос, ответ на который ждут в первую очередь от самой Xiaomi.

Надо отметить, что после поднявшегося шума вокруг АНБ и распространенной Эдвардом Сноуденом информации под пристальное внимание попали не только американские производители ПО и компьютерных устройств, но и китайские компании. В частности, в шпионаже и тайном сотрудничестве с китайским правительством были заподозрены известные корпорации Huawei и ZTE.

ОБНОВЛЕНИЕ: Через некоторое время после появления на форуме записи Кенни Ли на сервисе Google+ появилась запись, оставленная от имени вице-президента Xiaomi Хьюго Барра (Hugo Barra). В ней руководитель компании в формате «вопрос — ответ» фактически опровергает информацию о том, что смартфон Redmi Note несанкционированно передает данные на китайские серверы. В частности, на один из четырех вопросов Барра дает следующий ответ:

Вопрос: Выгружает ли Xiaomi какие-либо персональные данные без моего ведома?

Ответ: Нет. Xiaomi предлагает сервис под названием Mi Cloud, который дает возможность пользователям делать резервные копии персональных данных в облако и управлять ими, а также синхронизировать данные с другими устройствами. Эти данные включают в себя контакты, записи, текстовые сообщения и фотографии. Служба Mi Cloud по умолчанию выключена. Для ее включения пользователь должен авторизоваться под своим Mi-аккаунтом и вручную включить Mi Cloud. Также у пользователя есть возможность включить бэкап только для определенных типов данных. Использование и хранение данных в Mi Cloud полностью соответствует местным законам каждой страны и региона. Для защиты конфиденциальности пользователей применяются надежные алгоритмы шифрования.

В то же время антивирусный эксперт «Лаборатории Касперского» Сергей Ложкин, комментируя данную новость, заявил, что несанкционированная отправка данных со смартфона технически возможна, поскольку китайские операторы и производители смартфонов практически всегда устанавливают на свои устройства собственные проприетарные прошивки, чья истинная функциональность не известна никому, кроме самих производителей, и может включать в себя возможность свободной передачи данных.

Категории: Кибероборона, Уязвимости