Çin Android telefonlarında gömülü izleme: kanıtlanan neler ve kendinizi nasıl korursunuz

Xiaomi, HyperOS geliştirici platformunda iş ortağı şirketlere sunduğu “cihaz dolandırıcılık davranışı tespiti” adlı bir hizmetin açıklamasını yayımlıyor (15 Nisan 2026'da güncellendi). İş ortağının uygulaması bir telefonun 0 ile 100 arasındaki “dolandırıcılık risk puanını” sorgulayabiliyor; daha derin erişimi olan ortaklar ise son 72 saatteki belirli davranışları sorgulayabiliyor: ekran görüntüsü alma, ekran kaydı ya da ekran paylaşımı, uçak modu, çağrı yönlendirme, uzaktan kontrol, finans, kredi, “tanımlanamayan” ya da “şüpheli” uygulama yükleme, yurt dışı aramalar, işaretlenmiş adreslere giriş.

Belgeye göre kullanıcı arama geçmişini ya da uygulamayı silse bile tespit çalışmaya devam ediyor; yüklenmiş bir uygulama, geçerlilik süresi içinde kaldırılsa da hesaba katılmaya devam ediyor. Hizmet, HyperOS 3.1 ve üzerini çalıştıran Çin anakarası cihazları için geçerli: telefonlar ve tabletler. Belgede verilerin polise gittiği yazmıyor, kullanıcının bunu nasıl kapatabileceği de yazmıyor.

• Klavyeler (Citizen Lab, Nisan 2024): dokuz üreticinin pinyin klavyesinden (Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi) sekizinde, ağı dinleyen birinin yazdıklarınızı okumasına izin veren açıklar vardı; bu da yaklaşık 1 milyar kullanıcıyı etkiliyordu. Çoğu düzeltildi; araştırmacılar yine de tahmini yalnızca cihaz üzerinde yapan bir klavye öneriyor.
• Önyüklü uygulamalar (Edinburgh Üniversitesi ve Dublin Trinity College, 2023): Çin'den alınan Xiaomi, OnePlus ve OPPO/realme telefonlarda önyüklü uygulamalar, kurulumda kullanım verisi paylaşımı reddedilmiş olsa bile cihaz kimliklerini, konumu, telefon numarasını ve uygulama kullanımını üreticiye ve üçüncü taraflara gönderdi; yurt dışında da göndermeye devam etti.
• Anahtar kelime listesi (Litvanya Savunma Bakanlığı, 2021): bir Xiaomi Mi 10T'nin sistem uygulamalarında engellenecek 449 terimlik bir liste vardı; AB bölgesi için kapalıydı ama uzaktan açılabiliyordu. Xiaomi, kullanıcıların iletişimini kısıtladığını reddetti.

GitHub'da yayımlanan bir rapor, HyperOS 3.0 çalıştıran tek bir Xiaomi telefonu inceledi. China Unicom'un önyüklü bileşeni SystemHelper (paket com.mobiletools.systemhelper), her 30 dakikada bir konumu (virgülden sonra 6 basamağa kadar), baz istasyonunu ve yakındaki Wi-Fi ağlarını topluyor; bunları cihaz ve SIM kimlikleri, yüklü uygulamaların listesi ve kullanım bilgileriyle birlikte düzenli olarak Unicom'un sunucusuna düz HTTP üzerinden, içeriğin kendisinden türetilen bir anahtarla şifreleyerek gönderiyor. Simgesi yok, uygulama listesinde görünmüyor ve kapatma düğmesi yok. Başka bir inceleme, SIM kart China Mobile'a ait olduğunda bile bileşenin Unicom'a kayıt olmaya devam ettiğini gösteriyor.

Bu yalnızca Xiaomi'de değil. vivo'nun sistem özelliklerinde bu paketin adı geçiyor (GitHub'da herkese açık bir issue) ve Çin anakarası sürümü bir vivo X200S'te görünür durumda, ama “Kaldır” ve “Durmaya zorla” gri ve basılamıyor; OPPO ve realme'nin önyüklü uygulama listelerinde de yer alıyor. Bileşenin kendi kodunda Samsung, Motorola, Nubia, OnePlus, ZTE ve diğerlerinden oluşan bir marka listesi var; yani Çin anakarası Samsung telefonlar da kapsamında, ancak henüz kimse Samsung yazılımından bunu yayımlamış değil. Huawei ve Honor listede yok.

Raporun yazarı yalnızca tek bir cihazın test edildiğini belirtiyor ve geliştiricilerin niyeti hakkında herhangi bir iddiada bulunmuyor.

• “Güvenlik bileşeni birkaç saniyede bir ekranı kaydedip yüklüyor”: tek bir kullanıcının tersine mühendislik paylaşımı; yukarıdaki rapor bu tür bir bileşenden böyle bir yükleme görmedi.
• “Çin anakarası Samsung telefonlarda zaten yüklü geliyor”: şimdilik elde yalnızca bileşenin kodundaki marka listesi var; Samsung yazılımından henüz kanıt yok.
• “X ya da Telegram yüklü olanları polis arayıp silmelerini söyledi”: kulaktan dolma anlatımlar; bunlara telefonun raporlamasının yol açtığını doğrulamanın yolu yok.
• Bunları gerçek olarak sunmuyoruz. Bu, yanlış oldukları anlamına gelmiyor; yalnızca her birinin hâlâ ikinci, bağımsız bir kaynağı eksik.

VPN, cihazınızla sunucu arasındaki trafiği şifreler; bu yüzden operatör de Çin'in güvenlik duvarı da hangi sitelere girdiğinizi göremez. Ama telefonun sistemi tünelin sizin tarafınızda durur: hangi VPN uygulamasını yüklediğinizi, onu ne zaman açtığınızı ve ne kadar kullandığınızı bilir. 2023'te Xiaomi'nin güvenlik merkezi Telegram'ı “güvenlik incelemesini geçemedi” diye işaretledi ve yüklenmesini engelledi.

Yani ne kadar iyi olursa olsun hiçbir bağlantı hattı telefonun kendi içinde olanları düzeltemez. İşe yarayan şey, telefonun sizin hakkınızda daha az şey bilmesi.

1. Önemli şeyleri Çin anakarasındaki bir üreticinin yönetmediği bir sistemde tutun: bir iPhone ya da global yazılımlı bir Android telefon. Çin anakarası sürümü bir Android telefon günlük kullanım için yeterli; sadece görülmesini istemeyeceğiniz hiçbir şey için kullanmayın.
2. Klavyenizde “bulut girişi” ya da “bulut önerileri”ni kapatın veya yalnızca cihaz üzerinde çalışan bir klavyeye geçin.
3. Ayarlar'da uygulama izinlerini tek tek gözden geçirin; ihtiyacı olmayan her uygulamanın konum, kişiler ve uygulama listesi erişimini kapatın. Mümkün olan yerlerde, telefonun güvenlik ya da telefon yöneticisi uygulamasındaki “dolandırıcılık tespiti” veya “güvenlik taraması”nı kapatın.
4. Önyüklü bileşenleri kaldırmak için telefonu rootlamayın ya da yeniden yazılım yüklemeyin: çoğu kişi için bir hata, kazandırdığından daha pahalıya patlar; topluluğun engelleme modüllerinin hepsi root gerektirir ve bir şey bozulursa yardım edecek kimse yoktur.
5. VPN uygulamasını telefona hiç yüklemeyin: bağlantı hattı kurulmuş bir ev router'ı kullanın; telefon sadece Wi-Fi'a bağlanır ve erişim engelini zaten aşmış olur, sistem de sıradan bir Wi-Fi ağı görür.

Yapabildiklerimiz: ağ trafiğinizi şifrelemek ve hangi sitelere girdiğinizin kaydını tutmamak. İstemcilerimiz standart istemcilerdir (Cisco, OpenVPN, Hiddify, Tailscale) ve değiştirilmemiştir. Router seçeneğiyle ise telefonda hiç VPN uygulaması olmaz.

Yapamadıklarımız: telefonun kendi sisteminin rapor göndermesini durdurmak. Bunun için tek çare başka bir cihaz, daha sıkı izinler ve hassas şeyleri Çin anakarası yazılımında tutmamak.