Un rapport accable Xiaomi sur une fuite de données personnelles sur ses smartphones Redmi Note 8

Le fabricant chinois a été épinglé par un chercheur en cybersécurité roumain, qui explique comment ses données ont été captées puis envoyées sur des serveurs Cloud d'Alibaba.

Gabi Cirlig, spécialiste réputé en cybersécurité, a fait une étonnante découverte qui place le constructeur de smartphones Xiaomi dans l’œil du cyclone. Le chercheur roumain explique qu'une grande partie de son activité via son Redmi Note 8 était épiée par le fabricant. Plus clairement, ses données de navigation, ses dossiers ouverts sur son smartphone, ses photos et ses paramètres ont transité par des serveurs distants appartenant à un autre mastodonte chinois, Alibaba, dont Xiaomi est un important client. Sans respecter la confidentialité de ces données. La firme pékinoise a répondu à Cirlig sur son blog.

La firme reconnaît une collecte en navigation privée

Pour Gabi Cirlig, son identité était exposée et le respect de sa vie privée bafoué par Xiaomi. Le chercheur explique que tous les sites web visités durant sa navigation étaient enregistrés, que ce soit sur le navigateur par défaut du smartphone, via Google ou même DuckDuckGo, pourtant assimilé respectueux de la confidentialité des utilisateurs.

Même les mouvements effectués en navigation privée étaient suivis, un élément à moitié confirmé par Xiaomi, via une note publiée le 2 mai sur son blog : « En mode navigation privée, les données de navigation des utilisateurs ne sont pas synchronisées, mais des données agrégées de statistiques d'utilisation sont toujours collectées ».

Il n'y a donc pas que les données de navigation qui étaient collectées mais aussi les dossiers ouverts par l'utilisateur, la barre d'état et la page des paramètres. Cirlig précise que les informations transitaient par des serveurs hébergés à Singapour et en Russie, mais que les domaines web, eux, sont bien enregistrés à Pékin, où se trouve le siège de Xiaomi. Potentiellement, cette ponction des données personnelles toucherait des millions de clients de la marque dans le monde.

Xiaomi annonce mettre à jour ses navigateurs web

Gabi Cirlig va même plus loin dans son rapport en indiquant que d'autres modèles que le Redmi Note 8, sorti en 2019, pourraient être touchés par la faille. Il pense notamment aux Xiaomi Redmi K20, Xiaomi MI 10 et Mi MIX 3, qui auraient tous un code de navigateur identique à celui du Redmi Note 8.

En conséquence, et preuve que Xiaomi prend cette affaire très au sérieux, malgré le déni assumé d'un défaut de protection de la confidentialité des utilisateurs, la firme a annoncé, le 3 mai, l'ajout d'une fonctionnalité majeure dès la prochaine mise à jour des navigateurs Mint Browser et Mi Browser, épinglés par un autre chercheur en cybersécurité, Andrew Tierney. Le logiciel « comprendra une navigation en mode navigation privée pour l'ensemble des utilisateurs des deux navigateurs, qui pourront activer et désactiver la collecte de données agrégées », et ce dans un effort de « renforcer le contrôle que nous accordons aux utilisateurs sur le partage de leurs propres données avec Xiaomi », écrit le fabricant.

Xiaomi, qui se défend également en indiquant procéder au chiffrement des données émises vers ses serveurs pour protéger la vie privée des utilisateurs, se heurte au contre-témoignage de Gabi Cirlig, qui n'aura mis que quelques secondes à déchiffrer les données, pour en obtenir de réelles informations.

Du côté de Xiaomi, on doit se dire qu'on n'avait pas besoin d'une polémique ces temps-ci. Le fabricant, qui dispose d'une enveloppe de 7 milliards de dollars pour développer la 5G, l'IA et l'IoT sur ces cinq prochaines années, ne vivait pas si mal le moment présent, avec des ventes en progression (+9 %, 30,2 millions de smartphones vendus) au premier trimestre 2020, malgré une chute des ventes de smartphones. Sur fond de coronavirus, Xiaomi fait figure d'ovni de la croissance face à des concurrents en perdition (-17% pour Samsung et Huawei) et occupe aisément la place de troisième constructeur de smartphones mondial, avec 11,1 % de parts de marché (derrière Apple et ses 13,6% de PDM).

^{Source : Forbes}