OnePlus raccoglierebbe dati personali degli utenti senza renderli anonimi

Sulla qualità degli smartphone OnePlus nulla da eccepire. Si tratta di dispositivi dal prezzo interessante che offrono una dotazione hardware da top di gamma. Recentemente, poi, la società estremo-orientale si è avvalsa della collaborazione di un noto designer per lanciare sul mercato una versione personalizzata dello OnePlus 5: OnePlus 5 JCC+ in edizione limitata: design curato da de Castelbajac.
I dispositivi a marchio OnePlus sono basati su OxygenOS, versione del sistema operativo derivata direttamente da Android.

Il noto ricercatore britannico esperto in materia di sicurezza Christopher Moore ha però in queste ore acceso un faro sulle modalità con cui OnePlus tratta i dati degli utenti.
L’esperto ha analizzato il comportamento del suo OnePlus 2 utilizzando il software OWASP ZAP, uno sniffer evoluto, rilevando alcune anomalie.
In particolare, Moore ha accertato che il sistema operativo preinstallato nel suo device invia automaticamente un po’ troppe informazioni verso i server OnePlus. Di fatto, stando a quanto concluso dal ricercatore la società produttrice dello smartphone monitorerebbe le attività dell’utente senza anonimizzarle in maniera adeguata (qui la sua analisi dettagliata).

Moore spiega che OxygenOS monitora tutti i dati dello smartphone e traccia un identikit estremamente preciso delle applicazioni Android aperte e chiuse nonché delle activities usate per ciascuna di esse. Addirittura, OnePlus traccerebbe i momenti in cui il display risulta acceso e quelli in cui è spento.

Hey @OnePlus_Support, it's none of your business when I turn my screen on/off or unlock my phone – how do I turn this off? /cc:@troyhunt pic.twitter.com/VihaIDI6wP

— Christopher Moore (@chrisdcmoore) 13 gennaio 2017

L’azienda ha risposto che le informazioni raccolte transitano usando il protocollo HTTPS e che gli utenti possono disattivare il cosiddetto User Experience Program portandosi nelle impostazioni, scegliendo Avanzate quindi Iscriviti allo User Experience Program.

Moore ha rilevato che in appena 10 ore di funzionamento, OxygenOS ha “chiamato casa” trasmettendo ben 16 MB di dati.

Il “problema” individuato dal ricercatore britannico era stato in realtà evidenziato anche da un altro utente a luglio 2016 ma le sue rimostranze furono sostanzialmente ignorate.

@oneplus Why are you collecting timestamps of when I unlock my phone, and when the screen turns on/off? #caughthttps://t.co/ejt4p9uPFn

— Tux (@__Tux) 15 luglio 2016

Senza effettuare il rooting del telefono, il ricercatore Jakub Czekański spiega che collegandosi via ADB allo OnePlus si può disattivare completamente l’attività di tracciamento:

adb start-server
adb shell
pm uninstall -k --user 0 net.oneplus.odm

@chrisdcmoore I've read your article about OnePlus Analytics. Actually, you can disable it permanently: pm uninstall -k –user 0 pkg

— Jakub Czekański (@JaCzekanski) 10 ottobre 2017