LG’s smart-tv’er optager din stemme i standby og kortlægger dit hjemmenetværk

Skærmen er sort. Fjernbetjeningen ligger hen. Mikrofonen er stadig tændt. Forskere fra Gamers Nexus, i samarbejde med netværkssikkerhedsspecialister hos Level1Techs, har dokumenteret, at LG-smart-tv’er med webOS optager ren lyd via deres indbyggede mikrofoner, mens skærmen er i standby-tilstand – en tilstand de fleste ejere forbinder med, at enheden reelt er slukket. I test udført på LG OLED-enheder fra detailhandlen, herunder den nuværende G5-model, fortsatte mikrofonen med at fungere uanset om skærmen var aktiv.

Optagelserne forsvinder ikke, når tv’et mister sin internetforbindelse. Da forskerholdet afbrød en testenheds Ethernet-kabel og genererede lyd tæt på mikrofonen, gemte tv’et stemmeinputtet lokalt. Så snart netværksforbindelsen var genoprettet, sendte det de gemte filer til eksterne servere. Den adfærd tyder på, at dataindsamlingen ikke er en live-streaming-proces, men et vedvarende logningssystem designet til at optage lyd uafhængigt af en netværksforbindelse.

Lyd var kun én dimension af undersøgelsens resultater. Wireshark-pakkeoptagelser – en standard netværksanalyseteknik, der logger al trafik ind og ud af en enhed – viste, at tv’erne løbende scannede det lokale hjemmenetværk. Disse scanninger indsamlede interne IP-adresser på nærliggende telefoner, tablets og smartwatches, sammen med navne og signalstyrker på nabonetværk samt de lokalitetsdata, disse signaler indikerer. Overvågningen strækker sig ud over selve tv’et til alle enheder, der deler samme router.

Nogle af netværksscanningsdataene løber ind i LG Ad Solutions, virksomhedens reklameafdeling. LG Ad Solutions hævder at have adgang til 363 millioner “sekundære adresserbare enheder” i USA – hardware, der ikke tilhører LG, men deler netværk med et LG-tv. Det tal belyser omfanget af operationen: tv’et fungerer ikke blot som en skærm, men som en gateway til at opbygge reklameprofiler på tværs af hele husstanden.

LG havde ikke reageret på undersøgelsens resultater ved offentliggørelsestidspunktet. Virksomhedens webOS-opsætningsproces kræver, at brugerne accepterer en servicevilkårsaftale, der indeholder sprog om datadeling, hvilket kan blive anført som juridisk grundlag for dataindsamlingen. Hvorvidt offline-lager- og uploadmekanismen udgør lovlig behandling under EU’s generelle forordning om databeskyttelse – gældende, hvor end LG sælger tv i Europa – er ikke blevet prøvet for denne specifikke konfiguration. Forskerne dokumenterede også sårbarheder for fjernudførelse af kode i webOS, som i øjeblikket er under ansvarlig offentliggørelse, hvilket betyder, at der eksisterer en separat angrebsflade, som eksterne aktører potentielt kunne udnytte.

LG er ikke den første producent af smart-tv, der møder privatlivskontrol. Samsung, Vizio og Roku har hver især været genstand for Federal Trade Commissions opmærksomhed vedrørende Automatisk Indholdsgenkendelse – teknologien, der fingeraftrykker indhold på enhver HDMI-indgang for at logge seeradfærd. Det, der adskiller LG-resultaterne, er mikrofonadfærden i standby og den aktive lokale netværksscanning, som går ud over indholdsgenkendelse til omgivelsesovervågning af hjemmet. Gamers Nexus-holdets anbefaling til sine seere var direkte: afbryd tv’et fra internettet og brug en ekstern streaming-enhed i stedet.

De webOS-sårbarheder, der blev identificeret under undersøgelsen, er i øjeblikket under ansvarlig offentliggørelse, hvilket typisk kulminerer i en koordineret offentlig offentliggørelsesdato, efter at en opdatering er klar. LGs webOS-platform kører på mere end 200 millioner tv globalt. Ingen firmwareopdatering, der adresserer lydoptagelsesadfærden, er blevet annonceret, og LG Ad Solutions har ikke bekræftet, om det vil ændre sin praksis med sekundære enhedsdata efter offentliggørelsen af undersøgelsen.

Tags: cybersikkerhed, privatliv, Gamers Nexus, LG Ad Solutions, LG Electronics, smart-tv