Смарт-телевізори LG: розслідування виявило прихований запис звуку

Масштабне незалежне розслідування, проведене YouTube-каналом Gamers Nexus спільно з Level1Techs та трьома експертами з кібербезпеки, виявило, що смарт-телевізори LG здійснюють набагато ширший збір даних, ніж офіційно декларує виробник. На проєкт, що тривав понад 500 годин і коштував близько $70 тисяч, дослідники аналізували мережевий трафік OLED-телевізорів LG за допомогою інструментів на кшталт Wireshark.

З'ясувалося, що пристрої сканують домашню Wi-Fi-мережу, створюючи карту підключених гаджетів, визначають рівень сигналу сусідніх мереж, обчислюють геолокацію та, найважливіше, записують і розшифровують у текст уривки розмов, що не були голосовими командами. Захоплення звуку продовжується навіть тоді, коли телевізор виглядає вимкненим, а також при використанні екрана як HDMI-монітора.

Основою для персоналізованої реклами в LG слугує технологія Automatic Content Recognition (ACR), яка аналізує зображення та звук для розпізнавання контенту. Як зазначають аналітики Malwarebytes, ця функція не вимикається перемиканням входу. Дані стікаються до рекламного підрозділу LG Ad Solutions, який, за власними даними, оперує інформацією з 216 мільйонів телевізорів по всьому світу. Керівник підрозділу Серж Матта раніше очолював Comscore, яку SEC звинувачувала у завищенні виручки.

Найбільше занепокоєння викликає робота мікрофонів. Дослідники виявили, що навіть після вимкнення основного мікрофона через налаштування, прихований другий мікрофон продовжує запис. У тесті з фізичним відключенням телевізора від інтернету накопичені аудіозаписи були вивантажені на сервери LG одразу після повторного підключення. В логах знаходили фрагменти розмов із згадками особистих даних, зокрема номерів соцстрахування та банківських карток. Це прямо суперечить липневій заяві LG про те, що компанія не збирає розмови.

Окрім збору даних, дослідники знайшли невиправлені вразливості віддаленого виконання коду (RCE), що дозволяють зловмисникам отримати контроль над телевізором через фейкові спливаючі вікна. Компанія Spur виявила у близько 42% застосунків webOS код резидентних проксі, який перенаправляє чужий трафік через домашнє з'єднання. LG заявила про роботу з розробниками над видаленням такого коду.

Показово, що після травневого врегулювання позову з Техасом, де LG пообіцяла отримувати згоду користувачів на збір даних ACR, перемикач «Do Not Sell My Personal Information» досі вимкнений за замовчуванням. Також через кілька днів після першого розслідування LG додала до умов користування пункт про обов'язковий арбітраж, що обмежує право покупців на судові позови.

Єдиним надійним способом зупинити збір даних є повне відключення телевізора від мережі: фізичне видалення Ethernet-кабелю, вимкнення Wi-Fi у налаштуваннях та блокування з'єднань на рівні роутера. Варто враховувати, що навіть офлайн телевізор продовжує локально накопичувати дані, які вивантажаться при наступному підключенні. Розслідувачі вже анонсували наступний проєкт щодо Samsung, Vizio та інших виробників.