Malwarebytesは9月7日（米国時間）、LGエレクトロニクスのスマートテレビがローカルネットワーク情報を収集していたと報じた。これはGamers Nexus、Level1Techs、独立系セキュリティ研究者の共同調査により明らかになった。
調査で判明した情報収集の実態
複数のLG製テレビモデルを検証した結果、広範なデバイスおよびネットワーク検出機能、自動コンテンツ認識（ACR）機能に加え、重大な脆弱性も発見されたという。
調査ではテレビのパケットキャプチャー、ファームウェア分析が実施された。その結果、ローカルネットワーク上のスマートフォン、PC、プリンター、スマートホーム機器など、あらゆるデバイスを探索する動作を確認。さらに近隣のWi-Fiネットワーク名、信号情報、デバイス関連の識別子も収集していたとされる。
音声盗聴のリスクとLGの見解
研究者はこのほか、テレビを不正に改造することで、画面がオフの状態でも音声を録音し、ネットワークへの再接続後にデータを送信できることを実証した。さらに、調査で発見されたセキュリティ脆弱性が悪用された場合、こうした盗聴につながる可能性があると指摘している。
また、調査ではリモートコード実行（RCE）につながる重大な脆弱性も発見された。本稿執筆時点では責任ある情報開示の対応中のため詳細は公開されておらず、実際の攻撃条件や影響範囲は明らかになっていない。
一方、LGエレクトロニクスはTom's Hardwareに対し、音声の収集・録音に関する指摘を否定した。同社によると、LG製テレビが音声データを処理するのは、リモコンの音声ボタンを押している場合、またはユーザーがFar-Field音声認識機能を有効にしたうえで「Hi LG」などのウェイクワードが認識された場合に限られるという。それ以外では周囲の会話を収集、録音しないとしている。
また、ウェイクワードが認識されなかった場合、音声データはサーバーに送信されず、ウェイクワード検出のための音声処理はデバイス上で行われ、直ちに削除されると説明した。
推奨される対策と設定変更
研究者らはLGのスマートテレビによる情報収集を防ぐため、当該デバイスをネットワークから完全に切断することを推奨した。動画配信サービスを利用したいユーザーに対しては、スマートテレビに代わって信頼できるストリーミングデバイスの使用を提案している。
また、Malwarebytesはデバイスの設定で対策は可能として、次の取り組みを提案した。
- ファームウェアをアップデートする
- 設定、プライバシーと利用規約、ユーザー契約などの画面を表示し、ACR、閲覧情報の収集、パーソナライズされた広告、音声認識、その他の不要な機能を無効にする
- スマートテレビが表示する同意事項は注意深く検証し、広告や音声データ機能がオプションの場合は拒否する
- スマートテレビなどの信頼できないIoTデバイスは、独立したネットワークまたは専用の隔離ネットワークに接続する
- ルータのUPnP機能は必要な場合を除き無効にする。この機能を有効にすると、IoT機器やマルウェアは無断でポートを解放する可能性がある
