Телевізори LG з операційною системою webOS сканують домашню мережу, збираючи інформацію про під’єднані пристрої, а виявлені вразливості дозволяють використовувати вбудований мікрофон для запису звуку навіть у режимі очікування. Про це повідомили дослідники з Gamers Nexus, Level1Techs та незалежні фахівці з безпеки після серії тестів на моделях LG, зокрема OLED G5 з webOS 26.
За результатами аналізу мережевого трафіку, телевізор шукав у локальній мережі сервери, маршрутизатори, смартфони, смартгодинники та інші пристрої. Він також збирав внутрішні IP-адреси, назви сусідніх Wi-Fi мереж і дані про потужність їхнього сигналу. Як зазначають дослідники, LG використовує систему автоматичного розпізнавання контенту (ACR), яка створює цифрові відбитки зображення та звуку, щоб визначати, що саме переглядає користувач, навіть якщо сигнал надходить із зовнішніх джерел.
LG Ad Solutions пропонує рекламодавцям використовувати дані ACR для таргетування реклами, заявляючи про можливість охопити 49 мільйонів телевізорів LG і понад 363 мільйони інших пристроїв у США. Окремо дослідники виявили у webOS вразливості, які дозволяють активувати мікрофон і записувати чистий звук, коли екран телевізора виглядає вимкненим. Записи зберігалися локально, а після відновлення інтернет-з’єднання могли бути передані на віддалений сервер. Дослідники підкреслюють, що це демонструє потенційну можливість атаки на телевізор, а не підтверджену штатну функцію LG.
«Телевізор може записувати чистий звук навіть у режимі очікування, якщо скористатися вразливістю», — зазначили автори дослідження.
Інформацію про вразливості передали LG у межах процедури відповідального розкриття, тому технічні деталі поки не оприлюднюють. Дослідники не перевіряли всі моделі телевізорів LG, а результати стосуються протестованих пристроїв і американських версій webOS. На момент публікації LG не прокоментувала ці висновки.
Фахівці радять для обмеження збору й передачі даних не під’єднувати телевізор до інтернету та використовувати зовнішній медіаплеєр. Level1Techs також підготували перелік серверів телеметрії, реклами, ACR і сервісів ThinQ, до яких звертався протестований OLED G5.