Дослідники з кібербезпеки показали сценарій, за якого вже зламаний телевізор LG міг записувати звук через мікрофон, хоча екран здавався вимкненим або пристрій перебував у режимі очікування. Але тут є принципова деталь: це не доказ того, що всі телевізори LG таємно слухають власників. У тесті йшлося про пристрій, над яким атакувальник уже отримав контроль.
Дослідження проводили Gamers Nexus, Level1Techs та незалежні фахівці з безпеки. Як пише The Verge, вони перевіряли кілька моделей LG, зокрема OLED G5, і спостерігали за мережевим трафіком телевізорів.
Під час одного з тестів скомпрометований телевізор продовжував отримувати звук із мікрофона навіть із погашеним екраном. Коли пристрій від’єднали від Ethernet, голосові дані зберігалися локально. Після повернення мережевого з’єднання до них знову можна було отримати доступ.
Телевізор бачив телефони, комп’ютери й домашню мережу
Мікрофон виявився не єдиним питанням. Під час аналізу трафіку дослідники помітили, що телевізори шукали інші пристрої у локальній мережі — телефони, комп’ютери, принтери, мережеве обладнання та техніку розумного дому.
Також вони фіксували збір відомостей про доступні поблизу Wi-Fi-мережі, зокрема їхні назви та силу сигналу. Сам по собі такий пошук не є доказом стеження: LG пояснює, що виявлення сусідніх пристроїв потрібне для звичайних функцій розумного телевізора та підключення домашньої техніки.
ACR може визначати, що показує екран
Окремо дослідники звернули увагу на ACR — автоматичне розпізнавання контенту. Телевізор створює цифровий «відбиток» того, що відтворюється на екрані, і за ним може визначати телепрограму, рекламу чи інший контент. Технологія працює не лише всередині смарт-платформи, а може аналізувати й сигнал із зовнішніх джерел.
У поєднанні з рекламними ідентифікаторами та інформацією про домашню мережу такі дані дозволяють значно точніше описати звички конкретного домогосподарства. LG наголошує, що використання ACR для персоналізації та реклами передбачає згоду користувача: без прийняття відповідних додаткових умов ці дані, за твердженням компанії, не використовують для рекламних цілей.
LG каже: телевізори не записують розмови постійно
Компанія LG відкинула висновок про штатне приховане прослуховування. У відповіді India Today Tech виробник заявив, що голосові дані обробляються, коли користувач утримує кнопку голосового керування на пульті або телевізор розпізнає активаційну фразу на кшталт «Hi LG» після ввімкнення відповідної функції.
За версією LG, в інших ситуаціях телевізори не збирають і не записують розмови в кімнаті. Розпізнавання активаційної фрази відбувається локально, а якщо потрібних слів немає, аудіо не передається на сервер.
Ця відповідь не скасовує головного безпекового висновку тесту: якщо пристрій уже скомпрометований, звичайне вимкнення екрана саме по собі не гарантує, що атакувальник утратив доступ до його апаратних можливостей.
Що перевірити власнику LG TV
- Встановити актуальне оновлення прошивки. Старий firmware залишає в телевізорі вже виправлені виробником уразливості.
- Переглянути налаштування голосового керування. Якщо «Hi LG» та голосові команди вам не потрібні, їх можна вимкнути. На різних версіях webOS назви пунктів меню відрізняються.
- Перевірити згоду на ACR, персоналізовану рекламу та збір даних про перегляд. Непотрібні функції краще не залишати активними за замовчуванням.
- Відокремити розумну техніку від важливих пристроїв. Якщо роутер дозволяє, телевізор та інші IoT-пристрої можна підключити до гостьової або окремої мережі, а ноутбук із документами чи робочий комп’ютер залишити в основній.
LG має офіційну інструкцію з налаштування голосового керування. Конкретний шлях у меню залежить від моделі телевізора та версії webOS.
Повних технічних деталей знайдених уразливостей дослідники поки не оприлюднюють, щоб ними не скористалися до появи виправлень. Тому власникам телевізорів варто насамперед стежити за оновленнями LG і не залишати ввімкненими функції, якими вони не користуються.
