Ваш телевізор LG може все ще слухати вас — навіть коли, здається, він вимкнений

Що робить смарт-телевізор LG, коли ніхто не дивиться? Цифрова медіакомпанія та популярний YouTube-канал Gamers Nexus витратили більше 500 годин і близько 70 000 доларів, щоб це з'ясувати. Відповідь, згідно з новим розслідуванням, набагато більше, ніж рекламувалося.

Співпрацюючи з рецензентом апаратного забезпечення Level1Techs та трьома незалежними дослідниками безпеки, команда виявила, що телевізори LG сканують всю Wi-Fi мережу будинку, використовуючи UPnP — протокол, який дозволяє пристроям автоматично знаходити та спілкуватися один з одним, картуючи кожен телефон, ноутбук та смарт-пристрій, підключений до неї.

В одному з тестів вони отримали чистий аудіосигнал з мікрофона телевізора з темним екраном, а потім повторили це після того, як повністю відключили телевізор від Інтернету. LG підписала угоду про конфіденційність з регуляторами Техасу за чотири місяці до того, як це все стало відомо.

Більшість відстеження проходить через програмне забезпечення Automatic Content Recognition (ACR), яке зразковує те, що відображається на екрані або виходить через динаміки, перетворює це на цифровий відбиток і перевіряє його з референсною базою даних, щоб визначити, що відтворюється, згідно з оглядом Malwarebytes.

Gamers Nexus виявив, що версія LG продовжує працювати навіть коли телевізор використовується виключно як HDMI монітор для ноутбука. Перемикання входів не вимикає його.

Телевізори також здатні сканувати мережу та картографувати всі пристрої, підключені до неї.

Дослідники вимкнули основний мікрофон телевізора через меню налаштувань, а потім отримали придатний запис з другого, прихованого мікрофона, до якого вимикач ніколи не торкається. Отже, вимикач не працює.

В іншому тесті вони залишили телевізор без підключення до Ethernet, говорили поруч з ним і спостерігали, як він завантажує збережений аудіосигнал, щойно знову підключився, захоплюючи мову з приблизно 60 футів відстані через стіну.

Голосові команди перетворюються на простий текст і зберігаються в локальних журналах. Мікрофон залишається активним протягом 10-15 секунд після того, як хтось перестає говорити, захоплюючи все, що говорить кімната, незалежно від того, чи звертався хтось до телевізора. LG повідомила журналістам у липні, що її телевізори "не збирають, не записують і не зберігають навколишні розмови."

Відеозаписи говорять про інше.

Рекламні керівники LG принаймні на камеру відверто говорять про вигоду. Кілька керівників LG Ad Solutions заявляють, що компанія "володіє склом", і вони мають на увазі це: пропозиція рекламодавцям полягає в зв'язуванні телевізійних звичок домогосподарства з телефонами та іншими пристроями під одним дахом.

Згідно з компанією, ви купили телевізор. LG володіє тим, що вона бачить.

Ці дані проходять через Alphonso Inc., партнера ACR, в якому LG отримала контрольний пакет акцій у 2021 році і з тих пір перебуває в судових позовах. Президент LG Ad Solutions з глобальних рекламних продажів, Сердж Матта, раніше керував компанією з вимірювання реклами Comscore, яку SEC звинуватила в 2019 році в завищенні доходів приблизно на 50 мільйонів доларів. Матта особисто сплатив штраф у розмірі 700 000 доларів, повернув Comscore 2,1 мільйона доларів і прийняв 10-річний заборону на керування публічною компанією.

Ніхто не говорив про приватну.

Проблеми безпеки

Дослідники також виявили уразливості віддаленого виконання коду, недоліки, які дозволяють зловмиснику виконувати свої команди на телевізорі через мережу, які LG не повністю виправила. Один трюк обманює вбудований браузер телевізора, змушуючи його з'єднуватися з фальшивим спливаючим вікном мобільного пристрою, надаючи віддалений доступ без будь-якого дотику до телевізора. LG попросила дослідників утриматися від технічних деталей, поки розкриття ще триває.

Зламаний телевізор — це не просто пристрій для прослуховування. Компанія безпеки Spur виявила код резидентного проксі, програмне забезпечення, яке тихо перенаправляє інтернет-трафік когось іншого через домашнє з'єднання покупця, щоб це виглядало як звичайний домашній перегляд, заховане в приблизно 42% додатків на веб-магазині LG, згідно з Krebs on Security. Старший віце-президент LG Джон Тейлор заявив, що компанія працює з розробниками, щоб видалити його або призупинити додатки, які його містять.

Угоди LG щодо телевізорів та облікових записів перевищують 30 000 слів в сумі, або приблизно три-чотири години читання в середньому темпі. За кілька днів після публікації свого першого звіту про LG у липні, Gamers Nexus додала пункт про примусове арбітраж до цих умов, забороняючи покупцям подавати позови до суду або приєднуватися до колективного позову. Зручний час.

У травні генеральний прокурор Техасу Кен Пакстон оголосив про угоду, яка вимагає від LG отримати усвідомлену згоду перед збором даних про перегляд ACR і надати користувачам чітку можливість відмовитися, після грудневого позову, в якому також були названі Samsung, Sony, Hisense та TCL. Gamers Nexus виявив, що перемикач "Не продавати мою особисту інформацію" все ще вимкнений за замовчуванням, перш ніж покупець підключається до Інтернету або погоджується на що-небудь. Отже, так багато для цього.

Це, здається, є повторюваною проблемою для технологічних компаній, які вирішують знизити конфіденційність заради зручності. Від AI-окулярів Meta, які записують незнайомців без згоди, до мільйонів людей, які поспішили видалити свої дані з ChatGPT цієї весни через проблеми з конфіденційністю. Gamers Nexus заявляє, що зараз збирає кошти на подальше розслідування Samsung, Vizio та інших брендів смарт-телевізорів, в той час як справи Техасу проти Sony, Hisense та TCL залишаються відкритими в суді.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.