Smart TV của LG thu âm giọng nói ở chế độ chờ và quét toàn bộ thiết bị trong mạng gia đình

Màn hình tối đen. Điều khiển từ xa đã đặt xuống. Micro vẫn còn bật. Các nhà nghiên cứu từ Gamers Nexus, phối hợp cùng chuyên gia an ninh mạng tại Level1Techs, đã ghi nhận rằng TV thông minh LG chạy webOS thu âm thanh rõ ràng qua micro tích hợp trong khi màn hình ở chế độ chờ – trạng thái mà hầu hết chủ sở hữu cho rằng thiết bị đã tắt hẳn. Trong các thử nghiệm thực hiện trên phần cứng LG OLED bán lẻ, bao gồm cả dòng G5 hiện tại, micro vẫn tiếp tục hoạt động bất kể màn hình có bật hay không.

Các bản ghi âm không biến mất khi TV mất kết nối internet. Khi nhóm nghiên cứu ngắt kết nối cáp Ethernet của một thiết bị thử nghiệm và phát ra âm thanh gần micro, chiếc tivi đã lưu trữ giọng nói vào bộ nhớ cục bộ. Ngay khi kết nối mạng được khôi phục, nó đã truyền các tệp đã lưu đến máy chủ bên ngoài. Hành vi đó cho thấy việc thu thập dữ liệu không phải là một quy trình phát trực tiếp mà là một hệ thống ghi nhật ký liên tục được thiết kế để thu âm thanh độc lập với kết nối mạng.

Âm thanh chỉ là một khía cạnh trong các phát hiện của cuộc điều tra. Các bản ghi gói tin Wireshark – một kỹ thuật phân tích mạng tiêu chuẩn ghi lại tất cả lưu lượng ra vào thiết bị – cho thấy những chiếc tivi liên tục quét mạng nội bộ gia đình. Các bản quét đó thu thập địa chỉ IP nội bộ của điện thoại, máy tính bảng và đồng hồ thông minh gần đó, cùng với tên và cường độ tín hiệu của các mạng Wi-Fi lân cận và dữ liệu vị trí mà các tín hiệu đó ngụ ý. Sự giám sát vượt ra ngoài bản thân chiếc tivi, bao trùm mọi thiết bị dùng chung cùng một bộ định tuyến.

Một phần dữ liệu quét mạng chảy vào LG Ad Solutions, bộ phận quảng cáo của công ty. LG Ad Solutions tuyên bố có quyền truy cập vào 363 triệu “thiết bị có thể định địa chỉ thứ cấp” tại Hoa Kỳ – phần cứng không thuộc sở hữu của LG nhưng dùng chung mạng với tivi LG. Con số đó làm sáng tỏ quy mô của hoạt động: chiếc tivi không chỉ hoạt động như một màn hình hiển thị mà còn là một cổng vào để xây dựng hồ sơ quảng cáo trên toàn bộ hộ gia đình.

Tính đến thời điểm công bố, LG vẫn chưa phản hồi về các phát hiện của cuộc điều tra. Luồng thiết lập webOS của công ty yêu cầu người dùng chấp nhận một thỏa thuận điều khoản dịch vụ bao gồm ngôn ngữ chia sẻ dữ liệu, có thể được viện dẫn làm cơ sở pháp lý cho việc thu thập dữ liệu. Liệu cơ chế lưu trữ và tải lên âm thanh ngoại tuyến có cấu thành xử lý hợp pháp theo Quy định Bảo vệ Dữ liệu Chung của EU – áp dụng bất cứ nơi nào LG bán tivi tại châu Âu – hay không vẫn chưa được xét xử đối với cấu hình cụ thể này. Các nhà nghiên cứu cũng ghi nhận các lỗ hổng thực thi mã từ xa trong webOS hiện đang trong quá trình tiết lộ có trách nhiệm, nghĩa là tồn tại một bề mặt tấn công riêng biệt mà các tác nhân bên ngoài có thể khai thác.

LG không phải là nhà sản xuất tivi thông minh đầu tiên phải đối mặt với sự giám sát về quyền riêng tư. Samsung, Vizio và Roku từng mỗi hãng đều phải đối diện với sự chú ý của Ủy ban Thương mại Liên bang về Nhận dạng Nội dung Tự động – công nghệ lấy dấu vân tay nội dung trên bất kỳ đầu vào HDMI nào để ghi lại hành vi xem. Điểm khác biệt trong các phát hiện của LG là hành vi micro ở chế độ chờ và hoạt động quét mạng nội bộ chủ động, vượt xa việc lấy dấu vân tay nội dung để đi vào giám sát môi trường gia đình. Nhóm Gamers Nexus đã đưa ra lời khuyên trực tiếp cho khán giả của mình: ngắt kết nối tivi khỏi internet và sử dụng thiết bị phát trực tuyến bên ngoài.

Các lỗ hổng webOS được xác định trong quá trình điều tra hiện đang trong giai đoạn tiết lộ có trách nhiệm, thường lên đến đỉnh điểm bằng một ngày công bố phối hợp sau khi bản vá được chuẩn bị. Nền tảng webOS của LG chạy trên hơn 200 triệu tivi trên toàn cầu. Chưa có bản cập nhật firmware nào giải quyết hành vi thu âm thanh được công bố, và LG Ad Solutions chưa xác nhận liệu họ có sửa đổi các hoạt động dữ liệu thiết bị thứ cấp của mình sau khi cuộc điều tra được công bố hay không.

Thẻ: an ninh mạng, quyền riêng tư, Gamers Nexus, LG Ad Solutions, LG Electronics, Smart TV