Компания Nitrokey, занимающаяся информационной безопасностью, обнаружила, что смартфоны на процессорах Snapdragon тайно отправляют личные данные пользователей. Эти чипы разрабатывает компания Qualcomm. Более того, передача информации происходит без согласия пользователей и не зашифрована.
Исследователи выяснили, что процессоры Qualcomm отправляют данные самостоятельно, игнорируя настройки операционной системы Android и встроенные механизмы защиты. Это происходит даже на устройствах без сервисов Google. Для проверки данного факта был использован смартфон Sony Xperia XA2 с операционной системой /e/OS, основанной на Android с открытым исходным кодом и признанной более конфиденциальной, так как не использует сервисы Google.
При первоначальной настройке устройства не использовали SIM-карту и не включали GPS. Смартфон был подключен только к контролируемой Wi-Fi сети, которую мониторили с помощью специального программного обеспечения Wireshark. Сразу после подключения к беспроводной сети, смартфон начал генерировать трафик. Удивительно, но исследователи обнаружили запрос к android.clients.google.com, несмотря на отсутствие приложений или сервисов Google на устройстве. Данный хост связан с Google Play Store и отвечает за регистрацию устройства, определение местоположения и поиск приложений. Затем трафик отправлялся на connection.ecloud.global, который является заменой для проверки подключения к серверу Google. Через несколько секунд трафик направлялся на izatcloud.net.
Было установлено, что домен izatcloud.net принадлежит компании Qualcomm Technologies, Inc. При этом данные передавались по незащищенному протоколу HTTP, что делает их уязвимыми для перехвата. Qualcomm собирает различную информацию, включая уникальный идентификатор устройства, название и серийный номер чипсета, версию программного обеспечения XTRA, код страны и оператора связи, версию операционной системы, бренд и модель устройства, время работы процессора и модема, список установленных приложений и IP-адрес. Кроме того, компания определяет точное местоположение пользователей, благодаря наличию собственной операционной системы XTRA в процессорах Qualcomm, которая работает независимо от другого программного обеспечения на устройстве.
Специалисты рекомендуют опытным пользователям заблокировать службу Qualcomm XTRA или самостоятельно перенаправить этот трафик. В компании Qualcomm заявили, что сбор данных является законным и не противоречит их политике конфиденциальности.