Les navigateurs Mi Browser et Mint accusés de pister des utilisateurs, la réponse molle de Xiaomi

Un an après l’étrange et importante faille de sécurité sur le navigateur du fabricant de smartphones, Forbes se fait l’écho d’un pistage de la navigation Internet de l’utilisation du smartphone. « C’est une porte dérobée avec la fonctionnalité de téléphone », explique à nos confrères le chercheur en cybersécurité à l’origine de cette découverte.

Un second, Andrew Tierney, a vérifié les navigateurs Mi Browser Pro et Mint disponibles sur le Play Store. Il confirme la situation et ajoute que les données récoltées pourraient « très facilement être corrélées avec un utilisateur en particulier ». De son côté, Xiaomi affirmait que les données étaient chiffrées... mais il n’était en fait question que d'un… encodage Base64, ne nécessitant « que quelques secondes à transformer les données brouillées en morceaux d’information lisibles ».

Interrogée, la société se défend : elle réfute les accusations de risque sur la vie privée, mais confirme le suivi des utilisateurs. Elle nie par contre le faire en navigation privée. Face à une vidéo prouvant le contraire, elle rétorque que cette vidéo « montre la collecte de données de navigation anonymes, qui est l’une des solutions les plus courantes adoptée ».

Depuis, le constructeur a déployé une mise à jour de ses navigateurs pour permettre aux utilisateurs de désactiver la collecte de données « anonymes », en navigation privée uniquement. Mais elle n’est pas active par défaut et nécessite de parcourir les paramètres pour la trouver. 

Pour les deux chercheurs en cybersécurité, la conclusion est sans appel : « C’est largement pire que n’importe lequel des navigateurs grand public que j’ai vu ».