TV-urile inteligente LG: colectare de date și riscuri

Gamers Nexus și Level1Techs au testat televizoare inteligente LG și au documentat o colectare extinsă de date. După ce au obținut acces root printr-o vulnerabilitate, au constatat și posibilitatea înregistrării audio și video atunci când aparatul părea oprit.

Televizoarele inteligente ale mai multor producători monitorizează frecvent obiceiurile de vizionare și partajează aceste date cu parteneri. Multe modele folosesc recunoașterea automată a conținutului (ACR), care creează amprente ale sunetului sau imaginii preluate din aplicațiile interne ori din surse externe și le compară cu baze de date pentru recomandări și publicitate direcționată. Companii precum Nielsen folosesc date similare pentru a măsura audiența pe mai multe platforme.

Consimțământul pentru colectarea datelor este solicitat, de regulă, în timpul configurării, însă cercetătorii spun că aceste notificări pot fi ascunse în acorduri lungi sau influențate de designul interfeței. În testul LG, Gamers Nexus a arătat că televizorul afișa șase acorduri separate, dintre care unul pentru ACR, iar opțiunea implicită era „selectează tot”. Totuși, pentru finalizarea configurării erau necesare doar două acorduri.

Ulterior, Gamers Nexus și Level1Techs au obținut acces root pe un televizor LG prin exploatarea unei vulnerabilități, pentru a-i analiza comportamentul. După obținerea drepturilor root, au observat că televizorul putea înregistra audio și video în timp ce părea oprit și că transmitea către serverele LG informații despre rețeaua locală. Aceste constatări se aplică dispozitivului rootat testat.

Cercetătorii au testat și microfonul. Când căutarea vocală era activă, televizorul a continuat să înregistreze aproximativ 10-15 secunde după ultima comandă vocală detectată. După activarea modului de microfon cu câmp îndepărtat și creșterea sensibilității, au reușit să capteze fraza de activare „Hi LG” și alte sunete de la distanțe mai mari.

În aceste condiții, vorbirea care continua după activare putea fi captată ca parte a unei căutări vocale. Testele microfonului au presupus creșteri deliberate ale sensibilității și utilizarea unei funcții opționale de cuvânt de trezire pentru extinderea razei de acțiune.

Cercetătorii în securitate notează că un atacator ar avea, de regulă, nevoie de acces la rețeaua privată a utilizatorului pentru a exploata o vulnerabilitate care permite obținerea drepturilor root. Steve Burke de la Gamers Nexus a sugerat că un televizor ar putea schimba rețelele pentru a exfiltra date dacă i-ar fi deconectată conexiunea ethernet, însă videoclipul nu a prezentat dovezi că televizoarele LG utilizate în condiții reale ar proceda astfel; afirmația rămâne speculativă.

Utilizatorii preocupați de confidențialitate pot accepta doar acordurile necesare funcționării de bază și pot dezactiva opțiunile de publicitate și urmărire din setările televizorului. Este recomandată folosirea unei adrese de e-mail separate pentru contul televizorului, precum și verificarea meniurilor de confidențialitate, deoarece denumirile opțiunilor diferă de la un model la altul.

Pentru controlul vocal, puteți dezactiva microfonul televizorului sau puteți folosi un dispozitiv de streaming extern, cu propriul asistent. Dezactivarea Wi-Fi și deconectarea cablului ethernet reduc activitatea de rețea și transformă practic televizorul într-un simplu afișaj, fără funcții smart; streamingul poate rula apoi printr-un dispozitiv separat. Unele dispozitive de streaming, precum Apple TV 4K, nu folosesc ACR, deși Apple continuă să colecteze date de utilizare pentru recomandări personalizate, iar aplicațiile de streaming înregistrează activitatea utilizatorului.

Nu toate afirmațiile din videoclipul Gamers Nexus sunt documentate în aceeași măsură. Mai multe comportamente potențial alarmante au fost observate doar după ce cercetătorii au obținut acces root la dispozitiv, iar unele scenarii rămân conjecturale și nu au fost demonstrate pe aparate nemodificate.