Телевизор LG записал вымышленный номер соцстрахования и отправлял данные в сеть после повторного подключения

Авторы канала Gamers Nexus вместе с Level1Techs и тремя независимыми специалистами по безопасности выпустили расследование о том, чем занимаются умные телевизоры LG. На тесты ушло больше 500 часов и около 70 тысяч долларов, примерно 6 миллионов рублей, а итоговый ролик длится 135 минут.

Первое, что обнаружили исследователи, — телевизор изучает домашнюю сеть. Через протокол UPnP, которым устройства находят друг друга автоматически, аппарат просканировал Wi-Fi и вытащил десятки подключённых устройств: телефоны, компьютеры, умные часы, принтеры, серверы, термостаты. Причём в списке оказались гаджеты сотрудников, которые вообще не знали, что в редакции идут тесты.

Собирает он не только это. По данным авторов, телевизор видит имена устройств, внутренние IP-адреса, имена пользователей, а заодно названия соседних Wi-Fi-сетей, уровень их сигнала и привязанные к ним геоданные. В сумме получается довольно подробная карта дома.

Вторая часть расследования касается микрофона. Тесты показали, что он продолжает работать с погашенным экраном — то есть в состоянии, которое владелец считает выключенным. Более того, после обращения к голосовому ассистенту речь в комнате распознавалась и попадала в системные логи обычным текстом. В одной из проверок исследователи произнесли вымышленный номер социального страхования — и он лёг в логи открыто, без всякого шифрования.

Отключение от сети проблему не решает. Когда команда выдернула кабель и снова заговорила рядом с телевизором, запись сохранилась локально, а как только соединение восстановили, файлы ушли на внешние серверы.

Есть и корпоративный аспект. Система распознавания контента продолжает работать, даже когда панель используется просто как монитор по HDMI. Значит, под сбор попадают и экраны в больницах, отелях и переговорных комнатах. Данные при этом уходят в рекламное подразделение LG Ad Solutions.

Отдельного внимания заслуживает поведение самой компании. За четыре месяца до этих тестов LG подписала соглашение по приватности с регулятором Техаса. А через несколько дней после первого отчёта Gamers Nexus, вышедшего в июле, в пользовательские условия добавился пункт об обязательном арбитраже — он лишает покупателей права судиться и участвовать в коллективных исках. Сами соглашения LG в сумме занимают больше 30 тысяч слов, на их чтение уйдёт три-четыре часа.

Совет авторов простой: отключить телевизор от интернета и смотреть всё через внешнюю приставку. Найденные уязвимости webOS сейчас проходят процедуру ответственного раскрытия, патча пока нет, а сама система работает более чем на 200 миллионах телевизоров по миру.

Проверите настройки своего телевизора после такого — или уже давно держите его без интернета?