专家实测 小米手机偷传资料到北京服务器？

　　小米手机偷传资料到北京引起网友砲轰，小米官方否认，所以，iThome找来资安专家实测，全新红米手机打开包装，装上Sim卡，开机连上网路，还没进入任何初始安装设定，也没任何同意资料收集动作，小米手机就会自动回传用户手机号码到北京。

　　许多台湾民众对于使用大陆产品信心不足，陆续有传出小米(包含红米)手机以及各种来自中国的App，例如猎豹移动、奇虎360、WeChat及一些影音App等，都传出有资料回传中国的疑虑。

　　多数资安专家都同意，中国业者的确有收集使用者行为的资料，但因为一般人都没有能力判断是否真有回传资料，也无法判断这样的作法是否有恶意。

　　因此，iThome找来资安专家实机测试日前传出资料回传中国风波的红米手机。检测过程中，确实发现红米手机有资料回传小米北京总公司服务器，不论是全新的红米手机，或者是使用一阵子的红米手机，都有类似现象。

　　芬安全实测全新红米机，刚开机连网就回传手机序号和手机号码

　　iThome联系资安公司芬安全(F-Secure)马来西亚亚洲实验室，实测两款全新红米机与小米机，从7月31日～8月6日以将近一周的时间，每个环节都经过资安实验室人员2～3次的反覆测试，得出以下的结果。

　　芬安全亚洲区资安顾问吴树谦表示，中低价位的中国品牌智慧型手机小米手机，近期在马来西亚也非常热门，以每周只在网路上销售1万支的饥饿营销手法，不仅带动高知名度，也成为马来西亚热门手机品牌。

　　芬安全实际采购2款小米机第3代以及红米机1s(RedMi1S)进行实测，主要是希望厘清，许多媒体报导小米公司手机收集过多资讯并回传小米北京总公司的说法，是否为真。

　　首先，芬安全为了确保测试结果没有受到其他环境的干扰，便在马来西亚当地采购小米机与红米机各一台，进行开箱后的实测。他说，刚开始，为了确保手机「干净」，并未安装或连接小米云服务，只有开机并且插入电信公司的SIM卡后，之后就连接到芬安全实验室的无线AP。

　　吴树谦指出，在手机插入SIM卡、连上Wi-Fi并启动时，芬安全实验室发现，实测的红米手机1s会连上小米手机某一服务器(api.account.xiaomi.com)，并且回传手机序号IMEI码和插入SIM卡的手机号码到该伺服器。

　　之后，芬安全亚洲实验室允许红米手机使用GPS定位服务，并添加一个新的联系人到电话簿，然后进行发送和接收简讯以及多媒体简讯测试，也测试打电话与接听电话。

　　吴树谦表示，在测试时发现，在新增手机通讯录联络人并发送简讯后，测试的红米手机会把接收简讯者的手机号码，同样转发到该伺服器中。

　　接下来，芬安全亚洲区实验室启用并登录小米云服务，然后重复同样的测试步骤。此时，则发现，受测红米手机的国际行动用户辨识码(IMSI)资讯，及手机序号IMEI号码和电话号码，都传送到api.account.xiaomi.com服务器。