Έρευνα: Οι Smart TV της LG σαρώνουν τοπικά δίκτυα και καταγράφουν δεδομένα χωρίς την έγκριση του χρήστη

Σύνοψη

• Μια εκτενέστατη έρευνα ασφαλείας από το κανάλι Gamers Nexus υποδεικνύει ότι τα σύγχρονα μοντέλα Smart TV της LG ενσωματώνουν πρακτικές παρακολούθησης που παραβιάζουν τον ιδιωτικό χώρο των χρηστών.
• Οι τεχνικοί ερευνητές απέδειξαν πρακτικά την ικανότητα της τηλεόρασης να καταγράφει ήχο από ενσωματωμένα μικρόφωνα ακόμα και με απενεργοποιημένη οθόνη, αποθηκεύοντας τα αρχεία τοπικά για μελλοντική αποστολή.
• Το λειτουργικό σύστημα εκτελεί διαρκείς και επιθετικές σαρώσεις στο τοπικό δίκτυο (LAN), συλλέγοντας μεταδεδομένα (MAC addresses, ονόματα συσκευών) από οποιαδήποτε άλλη συσκευή βρίσκεται στον ίδιο χώρο.
• Ο απώτερος σκοπός αυτών των πρακτικών αφορά την τροφοδότηση του συστήματος Automatic Content Recognition (ACR) της εταιρείας Alfonso, με στόχο τη δημιουργία ακραία στοχευμένων διαφημιστικών προφίλ.
• Εμπειρογνώμονες προτείνουν την άμεση αποσύνδεση των έξυπνων τηλεοράσεων από τα δίκτυα Wi-Fi και την αποκλειστική χρήση συσκευών streaming που προσφέρουν καλύτερο έλεγχο των προσωπικών δεδομένων.

Η τεχνική ανάλυση του Gamers Nexus αποδεικνύει ότι οι Smart TV της LG μπορούν να λειτουργήσουν ως άτυποι σταθμοί παρακολούθησης, έχοντας την τεχνική ικανότητα να καταγράφουν φωνητικές εντολές μέσω μικροφώνων και να σαρώνουν διαρκώς το τοπικό δίκτυο για τον εντοπισμό τρίτων συσκευών. Η διαδικασία αυτή εκτελείται αθόρυβα στο παρασκήνιο, στοχεύοντας στη συλλογή πολύτιμων δεδομένων που τροφοδοτούν τα εργαλεία τηλεμετρίας και το σύστημα προβολής στοχευμένων διαφημίσεων της εταιρείας.

Οι σύγχρονες τηλεοράσεις αποτελούν ουσιαστικά υπολογιστές μεγάλου μεγέθους που διαθέτουν πολύπλοκα λειτουργικά συστήματα και μόνιμη σύνδεση στο διαδίκτυο, γεγονός που εγείρει σοβαρά ζητήματα ασφαλείας για κάθε σπίτι. Η δημοσιογραφική ομάδα του Gamers Nexus, επενδύοντας δεκάδες χιλιάδες δολάρια και συνεργαζόμενη με ανεξάρτητους ερευνητές ασφαλείας όπως ο Wendell από το Level1Techs, προχώρησε σε μια ενδελεχή αποδόμηση του τρόπου με τον οποίο το λογισμικό της LG διαχειρίζεται τα προσωπικά δεδομένα των χρηστών. Τα ευρήματα που προέκυψαν από την αποκρυπτογράφηση του firmware και την παρακολούθηση της κίνησης των δεδομένων αποκαλύπτουν μια εξαιρετικά επιθετική προσέγγιση απέναντι στην ιδιωτικότητα, η οποία ξεπερνά κατά πολύ την απλή προβολή διαφημίσεων στο κεντρικό μενού.

Κατά τη διάρκεια των δοκιμών αποδείχθηκε ότι οι συσκευές έχουν τη δυνατότητα να καταγράφουν ηχητικά αποσπάσματα και φωνητικές εισαγωγές μετατρέποντάς τα σε αρχεία απλού κειμένου, διευκολύνοντας έτσι την επεξεργασία τους. Το πλέον ανησυχητικό στοιχείο αυτής της ανακάλυψης εστιάζεται στο γεγονός ότι η καταγραφή μπορούσε να πραγματοποιηθεί ακόμα και όταν η τηλεόραση έδειχνε να βρίσκεται σε κατάσταση αναμονής με κλειστή οθόνη. 

Οι ερευνητές κατάφεραν να αποσπάσουν καθαρό ήχο από συνδεδεμένα μικρόφωνα δοκιμάζοντας σενάρια όπου η συσκευή είχε αποσυνδεθεί εντελώς από το δίκτυο Wi-Fi, ανακαλύπτοντας πως η τηλεόραση αποθήκευε τοπικά τις ηχογραφήσεις και τις απέστελλε μαζικά στους servers μόλις αποκαθίστατο η σύνδεση με το διαδίκτυο. Η αρχιτεκτονική αυτή δημιουργεί τεράστια κενά ασφαλείας, καθώς εάν ένας κακόβουλος χρήστης αποκτήσει απομακρυσμένη πρόσβαση μέσω κάποιας ευπάθειας, μπορεί πρακτικά να μετατρέψει την κεντρική οθόνη του σαλονιού σε έναν τέλειο κοριό.

Παράλληλα με την καταγραφή των ηχητικών αλληλεπιδράσεων, το λογισμικό της LG αποδείχθηκε ιδιαίτερα αδιάκριτο ως προς τη χαρτογράφηση του ευρύτερου ψηφιακού περιβάλλοντος στο οποίο εγκαθίσταται. Το σύστημα εντοπίστηκε να πραγματοποιεί συνεχείς σαρώσεις στο τοπικό δίκτυο περιοχής (LAN), εντοπίζοντας και καταγράφοντας με ακρίβεια τις υπόλοιπες συνδεδεμένες συσκευές των χρηστών που βρίσκονταν στον ίδιο χώρο. Οι ερευνητές παρατήρησαν ότι η τηλεόραση συνέλεγε MAC addresses, διευθύνσεις IP, εντάσεις σήματος και ονόματα προβολής από τουλάχιστον 38 διαφορετικές συσκευές στο δίκτυό τους, περιλαμβάνοντας από έξυπνα ρολόγια και smartphones της Samsung, μέχρι 3D εκτυπωτές, καθαριστές αέρα και εφεδρικούς υπολογιστές. Το λογισμικό κατάφερε μάλιστα να εντοπίσει λογισμικά απομακρυσμένης πρόσβασης όπως το TeamViewer που έτρεχε σε υπολογιστή εργασίας ενός μέλους της ομάδας παραγωγής, καταδεικνύοντας το εξαιρετικό βάθος της σάρωσης.

Ο κινητήριος μοχλός πίσω από την ανάπτυξη αυτών των τεχνολογιών παρακολούθησης βρίσκεται στη συνεχή αναζήτηση νέων ροών εσόδων μέσω της πώλησης ακραία στοχευμένων διαφημίσεων. Η LG, όπως και πολλοί άλλοι κατασκευαστές, στηρίζεται έντονα στο σύστημα Automatic Content Recognition (ACR) το οποίο αναλύει ανά πάσα στιγμή το περιεχόμενο που προβάλλεται στην οθόνη, ακόμα και αν αυτό προέρχεται από μια απλή σύνδεση HDMI με κάποια κονσόλα ή αποκωδικοποιητή. Η τηλεμετρία που αποστέλλεται στους διακομιστές μέσω της θυγατρικής εταιρείας Alfonso περιλαμβάνει εκατοντάδες αιτήματα (pings) που εκτελούνται με συχνότητα από 75 έως 300 δευτερόλεπτα, εξασφαλίζοντας ότι το προφίλ του χρήστη ανανεώνεται σε πραγματικό χρόνο. Με αυτόν τον τρόπο, οι διαφημιστές μπορούν να ενσωματώνουν μηνύματα βασισμένα σε ανάλυση εικόνας και τεχνητής νοημοσύνης, τοποθετώντας για παράδειγμα τη διαφήμιση ενός ποτού αμέσως μετά την προβολή μιας σκηνής σε μπαρ, δημιουργώντας έτσι ένα επικερδές αλλά δυστοπικό μοντέλο εκμετάλλευσης των προσωπικών προτιμήσεων.

Για την ελληνική αγορά, όπου τα κορυφαία μοντέλα τηλεοράσεων OLED της νοτιοκορεατικής εταιρείας βρίσκονται ψηλά στις προτιμήσεις των καταναλωτών, τα συγκεκριμένα ευρήματα αποκτούν ιδιαίτερη βαρύτητα. Οι αγοραστές επενδύουν συχνά μεγάλα ποσά που αγγίζουν ή ξεπερνούν τα χίλια ευρώ για την απόκτηση μιας ποιοτικής συσκευής προβολής, αγνοώντας πως το πραγματικό κόστος κρύβεται στην εμπορευματοποίηση της ιδιωτικότητάς τους. Παρότι το ρυθμιστικό πλαίσιο της Ευρωπαϊκής Ένωσης (GDPR) επιβάλλει αυστηρότερους κανόνες συγκατάθεσης σε σχέση με την αγορά των ΗΠΑ, οι αρχικοί όροι χρήσης παραμένουν δαιδαλώδεις και σκόπιμα ασαφείς, οδηγώντας τους περισσότερους χρήστες στο να αποδεχτούν τυφλά τις προϋποθέσεις προκειμένου να ενεργοποιήσουν τις βασικές λειτουργίες του προϊόντος που μόλις αγόρασαν.