Wiko nous confirme l’envoi de données techniques à Tinno et annonce du changement

Accusé de récupérer des informations personnelles des smartphones de ses clients, Wiko nous affirme qu'il ne s'agit que de « données d'ordre technique ». Une nouvelle application STS moins bavarde est en préparation.

Dans notre Brief de ce matin, nous évoquions le cas des smartphones Wiko accusés d'envoyer discrètement des données personnelles sur un serveur de Tinno (un fabricant de smartphones chinois, dont Wiko est une filiale). Le chercheur à l'origine de cette découverte n'en est pas à son coup d'essai puisqu'il a également dévoilé l'Engineer Mode et le composant OpenPlusLogKit de OnePlus, tous deux pouvant poser des soucis de sécurité.

Interrogé par nos soins, Wiko confirme une partie de ces informations, s'explique et annonce qu'une nouvelle application STS développée par Wiko est en route.

Wiko confirme en partie et annonce qu'une nouvelle application STS est en préparation

« Les smartphones Wiko sont équipés de l’application STS (Sales Tracking System) dont la finalité est d’établir des statistiques de ventes et de durée de vie des produits » explique Wiko. STS collecte « des données d’ordre technique, notamment le numéro IMEI, le numéro de série, le nom du modèle du téléphone, la version du système d’exploitation Android ».

Comme l'indique le « notamment », il s'agit d'une liste non exhaustive. Interrogé par nos soins, voici la liste des informations transmises : « IMEI, marque (Wiko Asie, Wiko Europe, ...), référence du modèle, version du software et numéro de série hardware ».

Quoi qu'il en soit, STS s'active lors du premier allumage du smartphone et envoie ensuite son rapport chaque mois, via Internet uniquement, « jamais par SMS » ajoute Wiko. Ce dernier affirme également qu'« aucune donnée relative à l’utilisateur, à l’utilisation du smartphone ou des applications n’est collectée ».

Dans tous les cas, le constructeur prévoit « à très court terme » de remplacer le STS de Tinno par une version estampillée Wiko (une filiale de Tinno pour rappel). Les données transmises par STS Wiko seront les suivantes : « IMEI, référence du modèle, version du software, pays (uniquement si l’utilisateur a autorisé les termes & conditions) » nous indique le fabricant. 

De plus, cette nouvelle version « ne vérifiera pas la durée de vie des produits et donc n’exécutera pas de requête mensuellement. Si nous décidons d’ajouter cette fonctionnalité (ce qui n’est pas prévu aujourd’hui), nous permettrons bien entendu à l’utilisateur de la désactiver ».

Par contre, l'envoi à la première activation ne pourra pas être désactivé indique Wiko. Nous demandons au fabricant si le premier envoi se fera par défaut à l’allumage, sans concertation avec l’utilisateur ? « A priori oui » nous répond-il mais nous attendons tout de même une confirmation ferme et définitive.

La position de l'antenne supprimée, des données chiffrées affirme Wiko

Concernant la position de l'antenne cellulaire évoquée par le compte Twitter Elliot Alderson‏, le constructeur nous répond que cette option était bien présente sur « les anciennes versions du STS », mais qu'elle « n’a jamais été activée et a été supprimée ». Sauf surprise, elle ne devrait donc pas être présente dans la nouvelle application STS.

When the alarm is triggered, it will send the @WikoMobile user IMEI, client number, GSM cell location, serial number, build version in clear text to https://t.co/bGsaCTRKR7...Every month! pic.twitter.com/lZDCzI7Ntj

— Elliot Alderson (@fs0c131y) 19 novembre 2017

Enfin, dernier point : les « données envoyées sur le serveur Tinno sont cryptées [sic] via un algorithme RSA » avec la version Tinno de STS, celle actuellement en place sur les smartphones. Pour la nouvelle mouture développée par Wiko, « l’ensemble des données est crypté via SSL. En plus du SSL d'autres systèmes de sécurité sont implémentés ».

Wiko veut rassurer ses clients et affirme se préparer pour le RGPD

Afin de rassurer ses utilisateurs, la société explique qu'elle « prend les questions relatives aux données personnelles très au sérieux et a volontairement initié en 2017 un audit [NDLR : par TNP – Cil Consulting] de l’ensemble des traitements de données personnelles dont elle est responsable ».

La marque affirme enfin qu'elle a « la volonté de traiter les données clients en conformité avec la règlementation, et se prépare depuis plusieurs mois à l’entrée en vigueur du RGPD au mois de mai 2018 ».

Wiko et OnePlus, même combat ? 

En l'espace d'un mois, c'est la deuxième fois qu'un fabricant de smartphones est pointé du doigt dans ce genre d'affaires. Mi-octobre, OnePlus était ainsi accusé de collecter discrètement des données personnelles de ses clients.

Une semaine plus tard, le fabricant annonçait finalement du changement sur sa politique de récupération des informations, mais aussi que tous les utilisateurs d’OxygenOS allaient recevoir une notification afin de savoir s’ils voulaient ou non participer à ce programme d'amélioration des services.

Carl Pei, co-fondateur de OnePlus, expliquait alors que la collecte de données était « une pratique courante dans l'industrie »... Force est de constater qu'il n'avait pas tort.