世界を動かす技術を、日本語で。

LGのスマートテレビが画面オフ時に音声を記録し、ローカルデバイスを監視していることが発覚

概要

  • LG製スマートテレビがネットワーク監視やデバイス追跡を実施
  • 画面オフ時でもマイク音声を記録する挙動を確認
  • 収集データは広告事業部LG Ad Solutionsへ送信
  • 研究チームはインターネット切断を推奨
  • LGによる公式コメントは現時点で未発表

LGスマートテレビによるネットワーク監視とプライバシー問題

  • Gamers Nexusが公開した 135分間 の動画による新情報
  • Steve氏が Level1Techs や独立系セキュリティ研究者と共同調査
  • 市販のLG OLED(G5など)を Wireshark でパケットキャプチャ解析
    • テレビが家庭内ネットワーク上の 他デバイス(スマホやスマートウォッチ) を積極的にスキャン
    • 近隣Wi-Fiネットワークの 名称・電波強度・位置情報 も収集
  • 収集情報は LG Ad Solutions (広告部門)へ送信
    • LGは世界で約 2億1600万台 のスマートテレビ販売実績
    • 米国内で 3億6300万台 のセカンダリーデバイス追跡と広告配信を実施

自動コンテンツ認識(ACR)と音声データ収集の実態

  • テレビが Automated Content Recognition(ACR) 機能を搭載
    • 視聴中の 映像・音声 をデジタルフィンガープリント化しログ取得
  • これまでのACR情報収集範囲を超える新たな挙動を確認
    • 画面オフ(スタンバイ)状態 でもマイクで音声をクリアに記録
    • イーサネット切断時は ローカル保存、再接続時に まとめて送信

セキュリティ脆弱性と推奨対策

  • webOSにおける リモートコード実行脆弱性 も発見
    • 現在 責任ある開示プロセス
  • テレビがデフォルトで 広範囲なネットワークリスニング とデータ収集を実施
  • 研究チームの推奨策
    • LGテレビは インターネットから切断
    • ストリーミングには 外部デバイス 利用を推奨

公式対応と今後の動向

  • LGからの公式コメントは未発表
  • ユーザーの プライバシー保護セキュリティ対策 が急務

Hackerたちの意見

AIが膨大なデータを検索できる時代に、家や職場にあるものが聞いたことをテキストに変換するのは、問題が起こるのを待っているようなものだよね。たとえば、誰かがLGやSamsungがクレジットカードの詳細を記録・保存していて、セキュリティが弱いことを証明したら、これは大きなビジネスリスクになると思う。賠償金の額を出すのは簡単だけど、他にもいろんな悪用が待ってるんじゃないかな。一番ひどいのは、テレビにネット接続を与えないと、LGにデータを返そうと他の方法を探し始めるってことだよね。例えば、オープンなWi-Fiとか。

たとえば、誰かがLGやSamsungがクレジットカードの詳細を記録・保存していて、セキュリティが弱いことを証明したら、これは大きなビジネスリスクになると思う。俺の陰謀論的な考えでは、彼らはすでにこれをビジネスの一環として計算に入れてると思う。罰金も予算に組み込んで、払ってしまえば、普通に続けられるってわけさ。人々がそれに慣れていくうちにね。

このデータのNSAやモサドにとっての価値が、恐らくそれを守る唯一の理由だと思う。人類の歴史の中で、政府が同時に何百万もの人々を監視し、日常のプライベートな会話を使ってそれらを国家に対するさまざまな脅威に分類する手段を持っていたことはなかったし、さらにこれらのテクノロジー企業は、その商業的に価値のある側面を広告主に売ることができるんだ。

歴史的な記録に基づくと、これらの企業にあまり影響はないと思う。でも、EUがどう動くかは興味あるね。

これは大きなビジネスリスクになるだろうね。いや、これは「気づかれない」か、少なくとも行動には移されないと思う。これらは監視デバイスだから、監視の価値を損なうことは、業界(監視を売買している)や政府(それを買って行動する)の利益にはならない。恥の時代は終わった。今の政府は、悪事を働くことで利益を得るような、ひどくて恐ろしい、悪の企業として繁栄している。人を監視するために自分を監視するっていう利用規約のある消費者デバイスなんて、今は何の意味もない。法律なんてどうでもいい、今の法律は何の意味もないから。これらのデバイスは、監視機能のおかげで消費者市場で唯一合法的に利用できるデバイスになるかもしれない。政府はデジタル技術の能力に追いつこうとしているけど、今はそれが以前よりも役立つことに気づいている。テクノロジー企業が悪いことをしているのを訴追する前に、また魔女狩りが始まるだろうね。

AIが膨大なデータを検索できる時代に、家や職場に何かを置いて、聞こえたことをテキストに変えるのは、問題が起こるのを待っているように見える。それは問題を過小評価している。AIがあろうとなかろうと、これだけでも会社を閉鎖するか、少なくとも特定の製品部門を閉じる理由になるべきだ。 >例えば、誰かがLGやSamsungがクレジットカードの詳細を記録・保存し、セキュリティが脆弱だと証明した瞬間、これは大きなビジネスリスクになるだろう。彼らは大丈夫だろうね。せいぜい軽いお咎め程度だ。

それが重要だと思うけど、彼らは基本的にすべてのPII/HIPAA/GDPR/国家安全基準を侵害しているし、他にも何があるか分からない。でも、せいぜいクラスアクション訴訟が起こるくらいだと思う。

その時、ネット隔離がプライバシーの好みじゃなくて、自分が持ってる製品との敵対的な関係に見えてくるよね。

一方で、一般市民がこれらの企業に対して訴訟を起こして勝つこともできるよ。俺は証拠を見せたら、すべての会社が和解したから、結局訴訟には至らなかったけどね。試してみる価値はあるよ。AIに対して弁護士を使うのは高くつくし、それでも負けることになるだろうから。

うちのテレビはIoTネットワークに接続してるから、Home Assistantから操作できるけど、インターネットにはアクセスできないようにしてる。DNSの問い合わせはリダイレクトかブロックしてるし(53はローカルDNSリゾルバにリダイレクト、853はブロック)、DoHもできるだけブロックしてるけど、HTTP DNSトラフィックを完全にブロックするのは難しいから、デバイスはファイアウォールでブロックしてるんだ。ストリーミングはAppleTV経由でやってるけど、これはLGやSamsungよりもずっと信頼できるプラットフォームだよ。

あなたのブロックがあっても、LGのテレビがローカルハードウェアをスキャンしようとしている事実は変わらない。デバイスのIPアドレスやWi-Fi名、信号強度を集めて、画面に投影された音声や映像のデジタルフィンガープリントを作成し、テレビがスタンバイ中やインターネット接続なしでも内部マイクを通じて音声を録音し、収集したデータをローカルに保存して、テレビがインターネットに接続されるとすぐにLG Ad Solutionsにアップロードしているんだ。

それから、隣人が無防備なネットワークやxfinityみたいなものを立ち上げて、契約があったりして、そこに接続して家に電話をかけることになるかもしれない。

Hacker Newsで議論の続きを見る