Het Nationale Cyber Security Centrum van Litouwen (NKSC) claimt bewijs gevonden te hebben dat Xiaomi-smartphones over een content-filter beschikken. Wanneer content wordt aangetroffen die in het filter als 'verboden' is aangemerkt, wordt deze geblokkeerd. Het filter is aanwezig in Xiaomi-smartphones, maar is volgens het Cyber Security Centrum niet actief op Xiaomi-smartphones buiten China. Niettemin sluit het Cyber Security Centrum niet uit dat Xiaomi in staat is om het filter op afstand te activeren.
Uit het onderzoek van de organisatie blijkt dat de Mi Browser periodiek een update downloadt voor het content-filter, waarmee op afstand nieuwe toevoegingen gedaan kunnen worden aan het filter. Het filter bevat momenteel enkel Chinese termen in het Chinese schrift, echter zou het volgens het Cyber Security Centrum eenvoudig zijn om ook woorden in het Latijnse schrijft toe te voegen. Ten tijde van het onderzoek bevatte de lijst 449 trefwoorden of groepen trefwoorden in Chinese karakters, zoals 'Free Tibet', 'Voice of America', 'Democratische beweging', 'Verlangen naar onafhankelijkheid van Taiwan' en meer.
De NKSC onderzocht toestellen van Xiaomi, Huawei en Oneplus en is volgens de organisatie gestart om het veilige gebruik van mobiele 5G-apparaten die in Litouwen worden verkocht en de daarin aanwezige software in het land te waarborgen. De studie identificeerde vier belangrijke cyberbeveiligingsrisico's. Twee hebben betrekking op gadgets die op de apparaten van de fabrikant zijn geïnstalleerd, één op het risico van lekken van persoonlijke gegevens en één op mogelijke beperkingen van de vrijheid van meningsuiting. Er werden drie risico's geïdentificeerd bij het apparaat van Xiaomi, één bij Huawei, en er werden geen kwetsbaarheden in de cyberbeveiliging vastgesteld op het mobiele apparaat van OnePlus.
Risico's op malware
Bij het analyseren van Huaweis 5G-smartphoneprestaties ontdekten de onderzoekers dat de officiële app-store van het apparaat, App Gallery, gebruikers automatisch omleidt naar een app-store van derden als de app niet te vinden is in de store van Huawei. Daar zijn sommige antivirusprogramma's beoordeeld als kwaadaardig of geïnfecteerd met virussen.
Onderzoekers hebben ook cyberbeveiligingsrisico's toegeschreven aan Xiaomi's Mi Browser. Het gebruikt niet alleen de standaard Google Analytics-module in andere browsers, maar ook de Chinese sensorgegevens, die tot 61 parametergegevens verzamelt en periodiek verzendt. Deze gegevens gaan over de acties die op de telefoon van de gebruiker worden uitgevoerd.
Censuur
Bij het analyseren van de prestaties van het Xiaomi-apparaat ontdekten de onderzoekers dat het over de technische mogelijkheden beschikte om de gedownloade content te censureren. Zelfs apps van verschillende fabrikanten op de telefoon, waaronder de Mi Browser, ontvangen periodiek een lijst met geblokkeerde zoekwoorden van de fabrikant. Wanneer het detecteert dat de content die de gebruiker wil verzenden woorden in de lijst bevat, blokkeert het apparaat die content automatisch.
Risico op lek persoonsgegevens
Het risico van lekken van persoonlijke gegevens is vastgesteld op een Xiaomi-apparaat wanneer een gebruiker ervoor kiest om de Xiaomi Cloud-service op het Xiaomi-apparaat te gebruiken. Om deze dienst te activeren, wordt vanaf het apparaat een versleuteld SMS-registratiebericht verzonden, dat later nergens wordt opgeslagen. Dat zorgt ervoor dat de onderzoekers niet kunnen weten welke data deze sms verzendt.
