चीनी Android फ़ोन में बिल्ट-इन निगरानी: क्या साबित है और खुद को कैसे बचाएँ

Xiaomi का HyperOS डेवलपर प्लेटफ़ॉर्म “डिवाइस फ़्रॉड-बिहेवियर डिटेक्शन” नाम की एक सेवा का विवरण प्रकाशित करता है (15 अप्रैल 2026 को अपडेट), जो पार्टनर कंपनियों को दी जाती है। किसी पार्टनर का ऐप किसी फ़ोन का 0 से 100 तक का “फ़्रॉड रिस्क स्कोर” पूछ सकता है; ज़्यादा गहरे पार्टनर पिछले 72 घंटों के खास व्यवहार भी पूछ सकते हैं: स्क्रीनशॉट, स्क्रीन रिकॉर्डिंग या शेयरिंग, एयरप्लेन मोड, कॉल फ़ॉरवर्डिंग, रिमोट-कंट्रोल, फ़ाइनेंस, लोन, “पहचाना न जा सकने वाले” या “संदिग्ध” ऐप इंस्टॉल करना, विदेशी कॉल, और फ़्लैग किए गए URL पर जाना।

दस्तावेज़ कहता है कि अगर यूज़र कॉल लॉग या ऐप डिलीट कर दे, तब भी डिटेक्शन काम करता रहता है, और इंस्टॉल किया गया ऐप वैलिडिटी अवधि के भीतर अनइंस्टॉल करने के बाद भी गिना जाता है। यह मेनलैंड चीन के उन डिवाइस पर लागू है जिनमें HyperOS 3.1 या उसके बाद का वर्ज़न है, फ़ोन और टैबलेट दोनों। दस्तावेज़ यह नहीं कहता कि डेटा पुलिस को जाता है, और यह भी नहीं बताता कि यूज़र इसे कैसे बंद कर सकता है।

• कीबोर्ड (Citizen Lab, अप्रैल 2024): नौ कंपनियों (Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi) के पिनयिन कीबोर्ड (चीनी भाषा टाइप करने वाले) में से आठ में ऐसी खामियाँ थीं जिनसे नेटवर्क पर जासूसी करने वाला आपका टाइप किया हुआ पढ़ सकता था; इसका असर क़रीब 1 अरब यूज़र्स पर था। ज़्यादातर खामियाँ ठीक कर दी गई हैं; फिर भी शोधकर्ता ऐसा कीबोर्ड इस्तेमाल करने की सलाह देते हैं जो सुझाव सिर्फ़ डिवाइस पर ही बनाए।
• प्रीइंस्टॉल्ड ऐप (एडिनबर्ग विश्वविद्यालय और ट्रिनिटी कॉलेज डबलिन, 2023): चीन में ख़रीदे गए Xiaomi, OnePlus और OPPO/realme फ़ोन पर प्रीइंस्टॉल्ड ऐप डिवाइस आइडेंटिफ़ायर, लोकेशन, फ़ोन नंबर और ऐप इस्तेमाल की जानकारी कंपनी और थर्ड पार्टी को भेजते थे, सेटअप के समय यूसेज डेटा देने से मना करने के बाद भी, और विदेश में भी ऐसा करते रहे।
• कीवर्ड लिस्ट (लिथुआनिया का रक्षा मंत्रालय, 2021): Xiaomi Mi 10T के सिस्टम ऐप में ब्लॉक करने के लिए 449 शब्दों की एक लिस्ट थी, जो EU क्षेत्र के लिए बंद थी लेकिन दूर से चालू की जा सकती थी। Xiaomi ने यूज़र्स के संचार पर रोक लगाने से इनकार किया।

GitHub पर प्रकाशित एक रिपोर्ट में HyperOS 3.0 वाले एक Xiaomi फ़ोन का विश्लेषण किया गया। China Unicom का प्रीइंस्टॉल्ड कंपोनेंट SystemHelper (पैकेज com.mobiletools.systemhelper) हर 30 मिनट में लोकेशन (दशमलव के बाद 6 अंकों तक), मोबाइल टावर और आसपास के Wi-Fi की जानकारी इकट्ठा करता है, और डिवाइस व SIM आइडेंटिफ़ायर तथा इंस्टॉल किए गए ऐप की लिस्ट और उनके इस्तेमाल के साथ, समय-समय पर इसे सादे HTTP पर Unicom के सर्वर को भेजता है; डेटा उसी कंटेंट से बनाई गई की (key) से एन्क्रिप्ट होता है। इसका कोई आइकन नहीं है, यह ऐप लिस्ट में नहीं दिखता, और इसे बंद करने का कोई स्विच नहीं है। एक और विश्लेषण दिखाता है कि SIM China Mobile का हो तब भी यह Unicom के साथ रजिस्टर होता रहता है।

बात सिर्फ़ Xiaomi की नहीं है। vivo की सिस्टम प्रॉपर्टीज़ में इस पैकेज का नाम है (GitHub पर एक सार्वजनिक issue), और मेनलैंड चीन वाले vivo X200S पर यह दिखता है, लेकिन “अनइंस्टॉल” और “फ़ोर्स स्टॉप” धूसर होकर बंद रहते हैं; यह OPPO और realme की प्रीइंस्टॉल्ड ऐप लिस्ट में भी है। कंपोनेंट के अपने कोड में कई ब्रांड लिखे हैं — Samsung, Motorola, Nubia, OnePlus, ZTE और दूसरे — इसलिए मेनलैंड चीन के Samsung फ़ोन भी इसके दायरे में आते हैं, हालाँकि अभी तक किसी ने Samsung फ़र्मवेयर में इसे पाकर प्रकाशित नहीं किया है। Huawei और Honor इस लिस्ट में नहीं हैं।

रिपोर्ट के लेखक ने साफ़ लिखा है कि सिर्फ़ एक डिवाइस टेस्ट किया गया, और डेवलपर्स की मंशा के बारे में कोई दावा नहीं किया है।

• “सिक्योरिटी कंपोनेंट हर कुछ सेकंड में स्क्रीन रिकॉर्ड करके अपलोड करता है”: यह एक यूज़र की रिवर्स इंजीनियरिंग पोस्ट से है; ऊपर वाली रिपोर्ट में उस तरह के कंपोनेंट से ऐसा कोई अपलोड नहीं दिखा।
• “मेनलैंड चीन के Samsung फ़ोन में यह पहले से आता है”: अब तक सिर्फ़ कंपोनेंट के कोड में ब्रांड लिस्ट है; Samsung फ़र्मवेयर से अभी कोई सबूत नहीं।
• “जिनके फ़ोन में X या Telegram था, उन्हें पुलिस का फ़ोन आया कि अनइंस्टॉल करो”: ये सुनी-सुनाई बातें हैं; यह जाँचने का कोई तरीक़ा नहीं कि ऐसा फ़ोन की रिपोर्टिंग की वजह से हुआ।
• हम इन्हें तथ्य के रूप में पेश नहीं करते। इसका मतलब यह नहीं कि ये झूठ हैं; बस हर एक के लिए अभी दूसरा स्वतंत्र स्रोत नहीं मिला है।

VPN आपके डिवाइस और सर्वर के बीच का ट्रैफ़िक एन्क्रिप्ट करता है, इसलिए मोबाइल ऑपरेटर और फ़ायरवॉल नहीं देख सकते कि आप क्या खोल रहे हैं। लेकिन फ़ोन का सिस्टम टनल के आपकी तरफ़ वाले सिरे पर बैठा है: उसे पता है कि आपने कौन-सा VPN ऐप इंस्टॉल किया, कब खोला और कितनी देर चलाया। 2023 में Xiaomi के सिक्योरिटी सेंटर ने Telegram को “सिक्योरिटी रिव्यू में फ़ेल” बताकर उसका इंस्टॉल होना रोक दिया था।

इसलिए कोई भी लाइन, कितनी भी अच्छी हो, फ़ोन के अंदर जो होता है उसे ठीक नहीं कर सकती। मदद इसी से मिलती है कि फ़ोन को कम पता चले।

1. ज़रूरी काम ऐसे सिस्टम पर रखें जो मेनलैंड चीन की किसी कंपनी का न हो: iPhone, या इंटरनेशनल (ग्लोबल) फ़र्मवेयर वाला Android फ़ोन। मेनलैंड चीन वाला Android फ़ोन रोज़मर्रा के काम के लिए ठीक है, बस उन चीज़ों के लिए नहीं जिन्हें कोई देख ले तो आपको दिक़्क़त हो।
2. कीबोर्ड में “क्लाउड इनपुट” या “क्लाउड सुझाव” बंद करें, या ऐसा कीबोर्ड अपनाएँ जो सिर्फ़ डिवाइस पर काम करता हो।
3. सेटिंग्स में ऐप परमिशन देखें और जिन ऐप को ज़रूरत नहीं, उनके लिए लोकेशन, कॉन्टैक्ट्स और ऐप-लिस्ट एक्सेस बंद करें; फ़ोन के सिक्योरिटी या फ़ोन-मैनेजर ऐप में जहाँ हो सके, “फ़्रॉड डिटेक्शन” या “सिक्योरिटी स्कैन” बंद करें।
4. प्रीइंस्टॉल्ड कंपोनेंट हटाने के लिए फ़ोन को रूट या रीफ़्लैश न करें; ज़्यादातर लोगों के लिए एक गलती से होने वाला नुकसान फ़ायदे से बड़ा है, और कम्युनिटी के सारे ब्लॉकिंग मॉड्यूल को रूट चाहिए, और कुछ बिगड़ जाए तो मदद करने वाला कोई नहीं।
5. VPN ऐप को फ़ोन से पूरी तरह दूर रखें: घर पर ऐसा राउटर लगाएँ जिसमें लाइन सेट हो, ताकि फ़ोन बस Wi-Fi से जुड़े और फ़ायरवॉल पहले से पार हो, और सिस्टम को एक साधारण Wi-Fi नेटवर्क ही दिखे।

हम क्या कर सकते हैं: आपका नेटवर्क ट्रैफ़िक एन्क्रिप्ट करना और आप क्या खोलते हैं इसका लॉग न रखना। हमारे क्लाइंट स्टैंडर्ड हैं (Cisco, OpenVPN, Hiddify, Tailscale), बिना किसी बदलाव के। और राउटर वाले विकल्प में फ़ोन पर कोई VPN ऐप होता ही नहीं।

हम क्या नहीं कर सकते: फ़ोन के अपने सिस्टम को रिपोर्ट भेजने से रोकना। इसमें सिर्फ़ दूसरा डिवाइस, कड़ी परमिशन और संवेदनशील चीज़ों को मेनलैंड चीन के फ़र्मवेयर से दूर रखना ही मदद करता है।