資安專家檢測：小米的確偷傳資料到北京？

小米這間中國大陸公司的爭議，從創立以來一直沒少過，有人說他們玩飢餓行銷、有些人說他們抄襲其他廠商，不過老實說這些都只是給人觀感不好而已；但最近小米扯出了「傳送門」這事件，對於使用者影響就大了。先前，有香港網友驚爆小米手機會在背景傳送資料到中國大陸伺服器，引發小米手機的資料安全疑慮；而小米給出的解釋是因為用戶登入了小米帳號，因此會與小米伺服器連線。

真的是這樣嗎？國內科技媒體 IThome 與資安公司芬安全（F-Secure）合作，實測兩款全新的紅米 1S 與小米 3 手機，兩款全新手機在馬來西亞採購後，只插入 SIM 卡，並未連接小米帳號與雲端服務，之後連到芬安全實驗室的無線 AP 並監視連線狀況。研究人員發現，實測紅米手機 1S 會連上小米的伺服器，並回傳手機 IMEI 序號以及 SIM 卡手機號碼；而在加入聯絡人並發送簡訊後，手機也會把接收者的號碼一樣轉發到該伺服器中。

而在研究人員將手機登入小米雲端服務後，發現紅米手機的國際行動用戶辨識碼（IMSI）、手機 IMEI 序號以及電話號碼也一樣會傳到同個伺服器中，並且整個過程都以明碼傳送。




此外，另一間資安公司戴夫寇爾利用一台正常使用多時的紅米機也發現，一開機系統就會把所有作業系統安裝的程式名稱傳送到小米主機上，並不知道用途為何。戴夫寇爾執行長表示，「一般手機很少會將使用者的應用程式清單全數回傳給手機業者」。此外他同時也發現，手機在執行不同功能時，會有加密資料回傳至中國大陸不同的伺服器上。



 

小米：不涉及隱私

IThome 針對檢測結果詢問台灣小米，小米表示，手機開機後的 IMEI 回傳行為是為了確認「是否為正貨」，並確認該號碼是否申請過小米帳號。而傳送簡訊時會回傳接收者號碼，是為了確認雙方都使用小米手機，以使用網路簡訊功能。另外回傳手機安裝 App 清單，小米表示因為用戶開啟小米雲備份功能，因此會同步使用者的 App 清單到伺服器上，當使用者換新手機時，可直接從雲端備份下載。

小米最後表示，未經用戶允許不會上傳使用者隱私資訊，而包含隱私的個人資料、相片、簡訊等也都預設關閉相關網路服務，需要使用者主動開啟，連回小米伺服器驗證網路服務的資料都不涉及使用者隱私。

看到這邊，大家有什麼看法？你認為小米真的有在背地暗中偷傳資料嗎？還是其實只是大家開了雲端服務卻忘記了？大家不妨可以看看 IThome 的詳細全文，然後自己做判斷。

※ 引用來源：IThome