Pametni televizori napadačima omogućuju prisluškivanje

Prema pisanju tvrtke Malwarebytes, proizvođača paketa za kibernetičku sigurnost, veliki proizvođač pametnih televizora LG, ovog je tjedna došao u središte pozornosti nakon istrage koju je provela tvrtka Gamers Nexus u suradnji s tvrtkom Level1Techs i neovisnim sigurnosnim istraživačima. Tim je ispitao nekoliko modela LG televizora i otkrio opsežne slabosti u otkrivanju uređaja i mreža, ACR praćenju i sigurnosnim problemima koje bi mogle povećati posljedice ako bi televizor bio kompromitiran.

Tehnologija automatskog prepoznavanja sadržaja (ACR) uzorkuje ono što se pojavljuje na televizoru ili čuje putem njega, stvara digitalni otisak prsta i uspoređuje ga s referentnom bazom podataka. Može se koristiti za identifikaciju programa, oglasa i navika gledanja.

Neki od nalaza istraživača odnose se na LG-jevo namjeravano ponašanje proizvoda, dok se drugi oslanjaju na ranjivosti za koje istraživači kažu da se još uvijek odgovorno otkrivaju. No, šira lekcija je jasna: pametni televizor zaslužuje istu pažnju prema privatnosti i sigurnosti kao i bilo koje drugo računalo spojeno na internet.

Prema Gamers Nexusu, snimanje paketa i analiza firmvera pokazali su da testirani LG televizori identificiraju uređaje na lokalnoj mreži, kao što su telefoni, računala, pisači, sklopke i hardver pametnog doma. Istraga također navodi da su televizori prikupljali nazive obližnjih Wi-Fi mreža, informacije o signalu i identifikatore povezane s uređajima.

Ove mrežne informacije mogle bi pomoći u stvaranju slike o drugim uređajima u kućanstvu. U kombinaciji s ACR podacima, reklamnim ID-ovima i drugim informacijama, mogle bi podržati detaljne profile onoga što ljudi gledaju i uređaja koje koriste.

Istraživači su također pokazali kako kompromitirani televizor može snimati zvuk putem mikrofona, čak i kada se čini da je televizor isključen. Čak su pokazali kako televizor pohranjuje zvuk kada je isključen s interneta i preuzima ga nakon što je veza ponovno uspostavljena.

Istraživači su također prijavili LG-u ranjivosti za udaljeno izvršavanje koda. Nisu otkrili sve detalje dok je proces odgovornog otkrivanja u tijeku. 

Ugroženi televizor mogao bi biti više od problema s privatnošću. Napadaču bi mogao pružiti uporište u kućnoj ili poslovnoj mreži, pristup zvuku ili put za ispitivanje drugih uređaja.

Malwarebytes kaže kako nema mjesta za paniku, ali vlasnici mogu poduzeti nekoliko praktičnih koraka kako bi ograničili što njihov televizor prikuplja i čemu može pristupiti, uključujući pravovremeno instaliranje ažuriranja firmvera, posebno sigurnosnih ažuriranja. Provjerite stranicu za podršku za svoj model i postavke ažuriranja softvera televizora.

Pregledajte kontrole privatnosti u odjeljku Postavke, Privatnost i uvjeti ili Korisnički ugovori. Isključite ACR, prikupljanje podataka o pregledu, personalizirane oglase, prepoznavanje glasa i ostale značajke koje vam nisu potrebne.

Nemojte prihvatiti svaki ugovor po defaultu. Pročitajte svaki zaslon za pristanak i odbijte opcionalno oglašavanje i značajke glasovnih podataka gdje je to moguće.

Koristite zasebnu IoT ili gostujuću mrežu za televizore, kamere, zvučnike i ostale uređaje pametnog doma. To ograničava dohvat kompromitiranog uređaja na vašoj glavnoj mreži.

Onemogućite UPnP na svom ruteru osim ako nije stvarno potreban i izbjegavajte izravno izlaganje TV usluga internetu.

LG je osporio tvrdnje istraživača o tome da njihovi televizori snimaju razgovore iz okoline. Tvrtka kaže da se glasovni podaci obrađuju samo kada korisnik drži gumb mikrofona ili kada omogućena funkcija glasa dalekog polja prepozna riječ za buđenje poput „Hi LG“. Ako se ne otkrije riječ za buđenje, LG kaže da se zvuk obrađuje lokalno i odmah briše. Zvučna demonstracija istraživača uključivala je kompromitirani televizor i ne pokazuje da nekompromitirani LG televizori rutinski snimaju razgovore.

LG je potvrdio da njihovi televizori skeniraju lokalne mreže, ali je rekao da je to standardna funkcija koja se koristi za povezivanje uređaja, dijeljenje sadržaja i značajke pametnog doma. Također je rekao da je njihova ACR značajka omogućena samo uz pristanak korisnika. LG nije javno odgovorio na prijavljene sigurnosne ranjivosti, koje još uvijek prolaze kroz „odgovorno otkrivanje“.