Pemantauan bawaan di HP Android China: apa yang sudah terbukti dan cara melindungi diri

Platform developer HyperOS milik Xiaomi memuat deskripsi layanan bernama “deteksi perilaku penipuan perangkat” (diperbarui 15 April 2026) yang ditawarkan kepada perusahaan mitra. Aplikasi milik mitra bisa menanyakan “skor risiko penipuan” sebuah HP dari 0 sampai 100; mitra dengan akses lebih dalam bisa menanyakan perilaku tertentu dalam 72 jam terakhir: tangkapan layar, perekaman atau berbagi layar, mode pesawat, pengalihan panggilan, pemasangan aplikasi kendali jarak jauh, keuangan, pinjaman, atau aplikasi yang “tidak dapat diidentifikasi” maupun “mencurigakan”, panggilan ke luar negeri, dan kunjungan ke URL yang ditandai.

Dokumen itu menyebut deteksi tetap berjalan meski pengguna menghapus riwayat panggilan atau aplikasinya, dan aplikasi yang pernah dipasang tetap terhitung walaupun sudah dicopot, selama masih dalam masa berlaku. Ini berlaku untuk perangkat China daratan dengan HyperOS 3.1 atau lebih baru, baik HP maupun tablet. Dokumen itu tidak menyebut datanya dikirim ke polisi, dan juga tidak menjelaskan cara pengguna mematikannya.

• Keyboard (Citizen Lab, April 2024): dari keyboard pinyin (untuk mengetik huruf China) buatan sembilan vendor (Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi), delapan punya celah yang memungkinkan penyadap jaringan membaca apa yang Anda ketik, berdampak pada hampir 1 miliar pengguna. Sebagian besar sudah diperbaiki; peneliti tetap menyarankan keyboard yang memberi prediksi hanya di perangkat.
• Aplikasi bawaan (University of Edinburgh dan Trinity College Dublin, 2023): di HP Xiaomi, OnePlus, dan OPPO/realme yang dibeli di China, aplikasi bawaan mengirim pengenal perangkat, lokasi, nomor telepon, dan data pemakaian aplikasi ke vendor dan pihak ketiga, bahkan setelah pengguna menolak berbagi data pemakaian saat pengaturan awal, dan terus melakukannya di luar negeri.
• Daftar kata kunci (Kementerian Pertahanan Lituania, 2021): aplikasi sistem di Xiaomi Mi 10T menyimpan daftar 449 istilah untuk diblokir, dimatikan untuk wilayah Uni Eropa tetapi bisa dinyalakan dari jarak jauh. Xiaomi membantah membatasi komunikasi penggunanya.

Sebuah laporan yang dipublikasikan di GitHub menganalisis satu HP Xiaomi dengan HyperOS 3.0. Komponen bawaan China Unicom, SystemHelper (paket com.mobiletools.systemhelper), mengumpulkan lokasi (hingga enam angka di belakang koma), menara seluler, dan Wi-Fi di sekitar setiap 30 menit, lalu bersama pengenal perangkat dan SIM serta daftar aplikasi terpasang beserta pemakaiannya, mengirimkannya secara berkala ke server Unicom lewat HTTP biasa, dienkripsi dengan kunci yang diturunkan dari isi datanya sendiri. Komponen ini tidak punya ikon, tidak muncul di daftar aplikasi, dan tidak punya tombol untuk mematikannya. Analisis lain menunjukkan komponen ini tetap mendaftar ke Unicom meski SIM-nya dari China Mobile.

Bukan hanya Xiaomi. Properti sistem vivo menyebut nama paket ini (sebuah issue publik di GitHub), dan di vivo X200S versi China daratan komponen ini terlihat dengan tombol “Copot pemasangan” dan “Paksa berhenti” berwarna abu-abu alias tidak bisa ditekan; komponen ini juga ada di daftar aplikasi bawaan OPPO dan realme. Kode komponen itu sendiri mencantumkan sejumlah merek — Samsung, Motorola, Nubia, OnePlus, ZTE, dan lainnya — sehingga HP Samsung versi China daratan termasuk dalam cakupannya, meski belum ada yang memublikasikan temuannya dari firmware Samsung. Huawei dan Honor tidak ada dalam daftar itu.

Penulis laporan menegaskan bahwa hanya satu perangkat yang diuji, dan ia tidak membuat klaim apa pun soal niat pengembangnya.

• “Komponen keamanan merekam layar setiap beberapa detik lalu mengunggahnya”: berasal dari unggahan rekayasa balik satu pengguna; laporan di atas tidak menemukan unggahan seperti itu dari komponen sejenis.
• “HP Samsung versi China daratan sudah membawanya”: sejauh ini hanya ada daftar merek di kode komponen; belum ada bukti dari firmware Samsung.
• “Orang yang memasang X atau Telegram ditelepon polisi dan disuruh mencopotnya”: cerita dari mulut ke mulut; tidak ada cara memastikan bahwa laporan dari HP-lah penyebabnya.
• Kami tidak menyajikan hal-hal ini sebagai fakta. Bukan berarti semuanya salah; masing-masing hanya belum punya sumber independen kedua.

VPN mengenkripsi lalu lintas antara perangkat Anda dan server, jadi operator seluler dan firewall tidak bisa melihat apa yang Anda buka. Tetapi sistem HP berada di ujung terowongan yang ada di sisi Anda: sistem tahu aplikasi VPN mana yang Anda pasang, kapan Anda membukanya, dan berapa lama. Pada 2023, pusat keamanan Xiaomi menandai Telegram sebagai “tidak lolos pemeriksaan keamanan” dan memblokir pemasangannya.

Jadi, jalur sebagus apa pun tidak bisa membereskan apa yang terjadi di dalam HP itu sendiri. Yang membantu adalah membuat HP tahu lebih sedikit.

1. Simpan hal-hal penting di sistem yang tidak dijalankan vendor China daratan: iPhone, atau HP Android dengan firmware internasional (global). HP Android versi China daratan tidak masalah untuk pemakaian sehari-hari, asal tidak dipakai untuk hal yang Anda tidak ingin dilihat orang.
2. Matikan “input cloud” atau “saran cloud” di keyboard Anda, atau ganti ke keyboard yang bekerja hanya di perangkat.
3. Periksa izin aplikasi di Setelan dan matikan akses lokasi, kontak, dan daftar aplikasi untuk aplikasi yang tidak membutuhkannya; matikan “deteksi penipuan” atau “pemindaian keamanan” di aplikasi keamanan atau pengelola ponsel kalau bisa.
4. Jangan root atau flash ulang HP untuk menghapus komponen bawaan; bagi kebanyakan orang, satu kesalahan merugikan lebih banyak daripada manfaatnya, dan modul pemblokir buatan komunitas semuanya butuh root, tanpa ada yang bisa membantu kalau ada yang rusak.
5. Jauhkan aplikasi VPN dari HP sama sekali: pakai router di rumah yang sudah dipasangi jalur, sehingga HP cukup tersambung ke Wi-Fi dan sudah tembus firewall, sementara sistem hanya melihat jaringan Wi-Fi biasa.

Yang bisa kami lakukan: mengenkripsi lalu lintas jaringan Anda dan tidak mencatat apa yang Anda kunjungi. Klien kami adalah klien standar (Cisco, OpenVPN, Hiddify, Tailscale) tanpa modifikasi. Dan dengan opsi router, tidak ada aplikasi VPN sama sekali di HP.

Yang tidak bisa kami lakukan: menghentikan sistem HP itu sendiri mengirim laporan. Untuk itu, yang membantu hanya perangkat lain, izin yang lebih ketat, dan menjauhkan hal-hal sensitif dari firmware China daratan.