Surveillance intégrée aux téléphones Android chinois : ce qui est prouvé, et comment vous protéger

La plateforme développeurs HyperOS de Xiaomi publie une description de service intitulée « détection des comportements frauduleux sur l'appareil » (mise à jour le 15 avril 2026), proposée aux entreprises partenaires. L'appli d'un partenaire peut obtenir le « score de risque de fraude » d'un téléphone, de 0 à 100 ; les partenaires au niveau d'accès supérieur peuvent interroger des comportements précis sur les 72 dernières heures : captures d'écran, enregistrement ou partage d'écran, mode avion, renvoi d'appel, installation d'applis de prise de contrôle à distance, de finance, de prêt, « non identifiables » ou « suspectes », appels vers l'étranger, visites d'URL signalées.

Le document précise que la détection fonctionne même si l'utilisateur efface le journal d'appels ou supprime l'appli, et qu'une appli installée reste comptabilisée si elle est désinstallée pendant la période de validité. Cela concerne les appareils destinés à la Chine continentale sous HyperOS 3.1 ou plus récent, téléphones et tablettes. Le document ne dit pas que les données sont transmises à la police, ni comment l'utilisateur peut désactiver la fonction.

• Claviers (Citizen Lab, avril 2024) : sur les claviers pinyin (la méthode de saisie courante pour le chinois) de neuf fabricants (Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi), huit présentaient des failles permettant à quelqu'un qui écoute le réseau de lire ce que vous tapez, soit près d'un milliard d'utilisateurs concernés. La plupart ont été corrigées ; les chercheurs conseillent tout de même un clavier qui fait ses suggestions uniquement sur l'appareil.
• Applis préinstallées (Université d'Édimbourg et Trinity College Dublin, 2023) : sur des téléphones Xiaomi, OnePlus et OPPO/realme achetés en Chine, les applis préinstallées envoyaient identifiants de l'appareil, position, numéro de téléphone et usage des applis au fabricant et à des tiers, même après avoir refusé le partage des données d'utilisation lors de la configuration, et continuaient à l'étranger.
• Liste de mots-clés (ministère lituanien de la Défense, 2021) : les applis système d'un Xiaomi Mi 10T contenaient une liste de 449 termes à bloquer, désactivée pour la région UE mais activable à distance. Xiaomi a nié restreindre les communications de ses utilisateurs.

Un rapport publié sur GitHub a analysé un téléphone Xiaomi sous HyperOS 3.0. Le composant préinstallé de China Unicom, SystemHelper (paquet com.mobiletools.systemhelper), collecte toutes les 30 minutes la position (à six décimales près), l'antenne-relais et les réseaux Wi-Fi alentour, puis envoie régulièrement le tout, avec les identifiants de l'appareil et de la carte SIM ainsi que la liste des applis installées et leur usage, au serveur d'Unicom en HTTP simple, chiffré avec une clé dérivée du contenu lui-même. Il n'a pas d'icône, n'apparaît pas dans la liste des applis et n'a aucun interrupteur. Une autre analyse montre qu'il s'enregistre quand même auprès d'Unicom lorsque la carte SIM est de China Mobile.

Xiaomi n'est pas le seul concerné. Les propriétés système de vivo mentionnent ce paquet (une issue publique sur GitHub), et sur un vivo X200S pour la Chine continentale il est visible, avec « Désinstaller » et « Forcer l'arrêt » grisés ; il figure aussi dans les listes d'applis préinstallées d'OPPO et de realme. Le code du composant cite lui-même une série de marques — Samsung, Motorola, Nubia, OnePlus, ZTE et d'autres —, si bien que les téléphones Samsung pour la Chine continentale entrent dans son champ, même si personne ne l'a encore publié à partir d'un firmware Samsung. Huawei et Honor ne figurent pas sur la liste.

L'auteur du rapport précise qu'un seul appareil a été testé et ne se prononce pas sur les intentions des développeurs.

• « Le composant de sécurité enregistre l'écran toutes les quelques secondes et l'envoie » : il s'agit du billet de rétro-ingénierie d'un seul utilisateur ; le rapport ci-dessus n'a constaté aucun envoi de ce type pour ce genre de composant.
• « Les téléphones Samsung pour la Chine continentale l'embarquent déjà » : pour l'instant, il n'y a que la liste de marques dans le code du composant, aucune preuve tirée d'un firmware Samsung.
• « Des personnes qui avaient installé X ou Telegram ont reçu un appel de la police leur demandant de les désinstaller » : ce sont des témoignages de seconde main ; impossible de vérifier que les remontées du téléphone en sont la cause.
• Nous ne présentons pas ces affirmations comme des faits. Cela ne veut pas dire qu'elles sont fausses : il manque simplement à chacune une deuxième source indépendante.

Un VPN chiffre le trafic entre votre appareil et le serveur, si bien que ni l'opérateur ni le pare-feu ne voient ce que vous consultez. Mais le système du téléphone se trouve de votre côté du tunnel : il sait quelle appli VPN vous avez installée, quand vous l'ouvrez et combien de temps. En 2023, le centre de sécurité de Xiaomi a signalé Telegram comme « n'ayant pas passé le contrôle de sécurité » et en a bloqué l'installation.

Aucune ligne, aussi bonne soit-elle, ne règle donc ce qui se passe sur le téléphone lui-même. Ce qui aide, c'est que le téléphone en sache moins.

1. Gardez ce qui compte sur un système qui n'est pas géré par un fabricant de Chine continentale : un iPhone, ou un Android avec le firmware international. Un Android pour la Chine continentale convient très bien au quotidien, mais pas pour ce que vous n'aimeriez pas voir lu par d'autres.
2. Désactivez la « saisie cloud » ou les « suggestions cloud » de votre clavier, ou passez à un clavier qui fonctionne uniquement sur l'appareil.
3. Passez en revue les autorisations des applis dans les Paramètres et coupez l'accès à la position, aux contacts et à la liste des applis pour tout ce qui n'en a pas besoin ; désactivez la « détection de fraude » ou l'« analyse de sécurité » dans l'appli de sécurité ou de gestion du téléphone quand c'est possible.
4. Ne rootez pas et ne reflashez pas le téléphone pour supprimer les composants préinstallés : pour la plupart des gens, une erreur coûte plus cher que ce qu'on y gagne, et les modules de blocage de la communauté exigent tous le root, sans personne pour vous aider en cas de panne.
5. Laissez carrément l'appli VPN hors du téléphone : utilisez chez vous un routeur sur lequel la ligne est configurée. Le téléphone se connecte simplement au Wi-Fi et passe déjà le pare-feu, et le système ne voit qu'un réseau Wi-Fi ordinaire.

Ce que nous pouvons faire : chiffrer votre trafic réseau et ne pas enregistrer ce que vous consultez. Nos clients sont des clients standard (Cisco, OpenVPN, Hiddify, Tailscale), non modifiés. Et avec la solution routeur, il n'y a plus du tout d'appli VPN sur le téléphone.

Ce que nous ne pouvons pas faire : empêcher le système du téléphone de faire ses remontées. Seuls un autre appareil, des autorisations plus strictes et le fait de garder le sensible loin des firmwares de Chine continentale y remédient.