샤오미 스마트폰, 사용자 행동 서버도 전송해왔다?

샤오미가 선보인 스마트폰 샤오미 홍미노트8(Xiaomi Redmi Note 8)이 터미널로 이뤄진 대다수 사용자 행동을 기록하고 알리바바 서버에 보내는 게 밝혀졌다고 한다.

한 보안 연구자(Gabriel Cirlig)에 따르면 샤오미 홍미노트8에 설치되어 있는 샤오미 기본 브라우저를 이용하면 검색 엔진을 포함해 방문한 웹사이트 전체 또는 샤오미 앱 뉴스피드 기능에 표시된 모든 항목에 대해 기록한다. 이런 추적은 사용자가 시크린 모드를 이용해도 이뤄진다고 한다.

또 사용자가 폴더를 열거나 스크린을 켜고 상태표시줄과 설정 페이지 내용까지 기록하며 모든 걸 한곳에 모아서 싱가포르와 러시아에 위치한 서버로 전송하고 있었다고 한다. 이 서버는 알리바바가 호스팅하는 것으로 도메인은 베이징으로 등록되어 있다. 이 보안 연구자는 샤오미 스마트폰에 대해 전화 기능을 갖춘 백도어라고 표현하고 있다.

실제로 다른 보안 연구자에 의뢰해 추가 조사를 실시한 결과 구글플레이에서 최급하는 샤오미 브라우저(Mi Browser Pro, Mint Browser) 2종 역시 마찬가지로 데이터를 수집하고 있는 것으로 밝혀졌다. 이들 응용 프로그램은 모두 1,500만 회 이상 다운로드된 상태다.

또 샤오미 미노트 10(Xiaomi Mi Note 10), 샤오미 홍미 K20(Xiaomi Redmi K20), 샤오미 미믹스3(Xiaomi Mi MIX 3) 3종도 펌웨어를 다운로드하고 브라우저에 같은 코드를 사용하고 있는지 확인해본 결과 이들 브라우저에 대해서도 보안 문제가 존재할 가능성이 있다고 한다.

이에 대해 샤오미는 이 주장은 사실이 아니라면서 자사는 개인정보 보호와 보안을 가장 큰 관심사항으로 두고 있다며 부정했다. 다만 브라우저가 데이터를 수집하는 것에 대해선 인정하면서도 정보는 익명화되어 있기 때문에 개인과는 결부되지 않으며 사용자 동의하에 수집하고 있다고 설명했다.

한편 보안 연구자들은 웹사이트와 웹 검색에 대한 정보 뿐 아니라 장치와 안드로이드 버전을 식별하는 번호를 포함한 데이터도 수집되고 있었다고 보고했다. 이런 데이터는 정보와 사용자를 연결하기 쉽다는 지적이다. 샤오미는 시크릿 모드에 의한 정보 수집에 대해서도 부정하고 이에 대해서도 연구자들과 의견이 대립하고 있다. 보안 연구자들은 응용 프로그램을 열 때마다 일련의 정보를 원격 서버로 전송하기 때문에 앱 사용도 감시되고 있을 가능성을 시사한다고 지적했다. 관련 내용은 이곳에서 확인할 수 있다.