Встроенная слежка в китайских Android-смартфонах: что доказано и как себя защитить

На платформе для разработчиков HyperOS компания Xiaomi публикует описание услуги «обнаружение мошеннического поведения устройства» (обновлено 15 апреля 2026 года), которую предлагает компаниям-партнерам. Приложение партнера может запросить «оценку риска мошенничества» телефона от 0 до 100, а партнеры с расширенным доступом — конкретные действия за последние 72 часа: снимки экрана, запись или трансляцию экрана, режим полета, переадресацию звонков, установку приложений для удаленного управления, финансовых, кредитных, «неопознанных» или «подозрительных» приложений, международные звонки, посещение помеченных адресов.

В документе сказано, что обнаружение работает, даже если пользователь удалил журнал звонков или само приложение, а установленное приложение продолжает учитываться и после удаления, если это произошло в пределах срока действия. Услуга распространяется на устройства для материкового Китая с HyperOS 3.1 и новее — телефоны и планшеты. Там не сказано, что данные передаются полиции, и не сказано, как пользователь может это отключить.

• Клавиатуры (Citizen Lab, апрель 2024 года): из пиньинь-клавиатур девяти производителей (Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi) у восьми нашлись уязвимости, позволявшие тому, кто прослушивает сеть, читать набираемый текст; это касалось почти 1 млрд пользователей. Большинство уязвимостей исправлено, но исследователи по-прежнему советуют клавиатуру, которая подсказывает слова только на самом устройстве.
• Предустановленные приложения (Эдинбургский университет и Тринити-колледж Дублина, 2023 год): на телефонах Xiaomi, OnePlus и OPPO/realme, купленных в Китае, предустановленные приложения отправляли производителю и третьим сторонам идентификаторы устройства, местоположение, номер телефона и данные об использовании приложений — даже если при настройке пользователь отказался от передачи статистики, — и продолжали делать это за границей.
• Список ключевых слов (Министерство обороны Литвы, 2021 год): в системных приложениях Xiaomi Mi 10T хранился список из 449 слов для блокировки; для региона ЕС он был отключен, но мог включаться удаленно. Xiaomi отрицала, что ограничивает общение пользователей.

В отчете, опубликованном на GitHub, разобран один телефон Xiaomi на HyperOS 3.0. Предустановленный компонент China Unicom под названием SystemHelper (пакет com.mobiletools.systemhelper) каждые 30 минут собирает местоположение (с точностью до 6 знаков после запятой), данные о базовой станции и ближайших сетях Wi-Fi и вместе с идентификаторами устройства и SIM-карты, а также списком установленных приложений и сведениями об их использовании периодически отправляет все это на сервер Unicom по обычному HTTP, зашифровав ключом, который выводится из самого содержимого. У него нет значка, его нет в списке приложений, и у него нет переключателя. Другой разбор показывает, что компонент регистрируется у Unicom, даже когда стоит SIM-карта China Mobile.

И это не только Xiaomi. В системных свойствах vivo этот пакет упоминается (публичный issue на GitHub), а на vivo X200S для материкового Китая он виден, но кнопки «Удалить» и «Остановить» неактивны; он есть и в списках предустановленных приложений OPPO и realme. В коде самого компонента перечислен ряд брендов — Samsung, Motorola, Nubia, OnePlus, ZTE и другие, — так что смартфоны Samsung для материкового Китая входят в его охват, хотя из прошивки Samsung его пока никто не опубликовал. Huawei и Honor в этом списке нет.

Автор отчета отмечает, что проверено только одно устройство, и ничего не утверждает о намерениях разработчиков.

• «Компонент безопасности каждые несколько секунд записывает экран и отправляет запись»: пост одного пользователя о его обратной разработке; в отчете выше никакой такой отправки от компонентов этого типа не обнаружено.
• «Смартфоны Samsung для материкового Китая уже поставляются с ним»: пока есть только список брендов в коде компонента; подтверждений из прошивки Samsung нет.
• «Тем, у кого стоят X или Telegram, звонила полиция и требовала удалить»: рассказы из вторых рук; проверить, что причиной стали отчеты с телефона, невозможно.
• Мы не выдаем это за факты. Это не значит, что все это неправда: просто у каждого из этих утверждений пока нет второго независимого источника.

ВПН шифрует трафик между вашим устройством и сервером, поэтому ни оператор связи, ни «Великий китайский файрвол» не видят, какие сайты вы открываете. Но система телефона находится на вашем конце туннеля: она знает, какое ВПН-приложение вы установили, когда вы его открываете и как долго им пользуетесь. В 2023 году центр безопасности Xiaomi пометил Telegram как «не прошедший проверку безопасности» и заблокировал его установку.

Поэтому никакая линия, даже самая хорошая, не исправит то, что происходит на самом телефоне. Помогает одно — чтобы телефон знал о вас меньше.

1. Держите все важное на системе, которую не контролирует производитель из материкового Китая: на iPhone или на Android-смартфоне с глобальной прошивкой. Android-смартфон для материкового Китая годится для повседневных дел, но не для того, что вам не хотелось бы показывать посторонним.
2. Отключите в клавиатуре «облачный ввод» или «облачные подсказки» либо перейдите на клавиатуру, которая работает только на устройстве.
3. Пройдитесь по разрешениям приложений в настройках и отключите доступ к местоположению, контактам и списку приложений всем, кому он не нужен; там, где это возможно, выключите «обнаружение мошенничества» или «проверку безопасности» в приложении безопасности или диспетчере телефона.
4. Не получайте root-права и не перепрошивайте телефон, чтобы удалить предустановленные компоненты: для большинства людей ошибка обойдется дороже, чем выгода, а все модули блокировки от сообщества требуют root, и если что-то сломается, помочь будет некому.
5. Вообще не ставьте ВПН-приложение на телефон: используйте домашний роутер с настроенной линией — телефон просто подключается к Wi-Fi и уже обходит блокировки, а система видит обычную сеть Wi-Fi.

Что мы можем: шифровать ваш сетевой трафик и не вести журнал того, какие сайты вы открываете. Наши клиенты — стандартные (Cisco, OpenVPN, Hiddify, Tailscale), без изменений. А с вариантом через роутер на телефоне вообще нет ВПН-приложения.

Чего мы не можем: запретить системе самого телефона отправлять отчеты. Здесь помогает только другое устройство, более строгие разрешения и то, что все чувствительное вы не держите на прошивке для материкового Китая.