Tu TV LG podría seguir escuchándote, incluso cuando parece estar apagada

¿Qué hace un televisor inteligente LG cuando nadie lo está viendo? La empresa de medios digitales y popular canal de YouTube Gamers Nexus pasó más de 500 horas y alrededor de $70,000 para descubrirlo. La respuesta, según una nueva investigación, es mucho más de lo que se anuncia.

Trabajando con el revisor de hardware Level1Techs y tres investigadores de seguridad independientes, el equipo descubrió que los televisores LG escanean toda la red Wi-Fi de un hogar usando UPnP, un protocolo que permite que los dispositivos se encuentren y se comuniquen automáticamente, mapeando cada teléfono, computadora portátil y dispositivo inteligente conectado a ella.

En una prueba, extrajeron audio limpio de micrófono de un televisor con pantalla oscura, y luego lo hicieron de nuevo después de desconectar el televisor de Internet por completo. LG firmó un acuerdo de privacidad con los reguladores de Texas cuatro meses antes de que todo esto se publicara.

La mayor parte del seguimiento se realiza mediante el software de Reconocimiento Automático de Contenido (ACR), que muestrea lo que hay en la pantalla o lo que sale por los altavoces, lo convierte en una huella digital y lo compara con una base de datos de referencia para identificar lo que se está reproduciendo, según la revisión de los hallazgos realizada por Malwarebytes.

Gamers Nexus descubrió que la versión de LG sigue funcionando incluso cuando el televisor se usa puramente como monitor HDMI para una computadora portátil. Cambiar de entrada no lo desactiva.

Los televisores también son capaces de escanear la red y mapear todos los dispositivos conectados a ella.

Los investigadores silenciaron el micrófono principal del televisor a través del menú de configuración, y luego extrajeron una grabación utilizable de un segundo micrófono oculto que el interruptor de silencio nunca toca. Así que el interruptor de silencio no sirve de nada.

En otra prueba, dejaron un televisor desenchufado de ethernet, hablaron cerca de él, y observaron cómo subía el audio almacenado en el momento en que se reconectaba, captando el habla desde aproximadamente 60 pies de distancia a través de una pared.

Los comandos de voz se convierten en texto plano y se guardan en registros del dispositivo. El micrófono permanece activo durante 10 a 15 segundos después de que alguien deja de hablar, captando lo que la habitación dice a continuación, ya sea que alguien se dirija al televisor o no. LG dijo a los periodistas en julio que sus televisores "no recopilan, graban ni almacenan conversaciones ambientales".

Las imágenes dicen lo contrario.

Los ejecutivos de publicidad de LG son refrescantemente honestos sobre el beneficio, al menos ante la cámara. Se muestra a varios líderes de LG Ad Solutions diciendo que la empresa "es dueña de la pantalla", y lo dicen en serio: la propuesta a los anunciantes es vincular los hábitos de televisión del hogar con los teléfonos y otros dispositivos bajo el mismo techo.

Según la empresa, usted compró el televisor. LG es dueño de lo que ve.

Ese dato pasa por Alphonso Inc., el socio de ACR del que LG tomó una participación de control en 2021 y desde entonces ha estado envuelto en demandas. El presidente de ventas de publicidad global de LG Ad Solutions, Serge Matta, dirigió anteriormente la firma de medición de publicidad Comscore, que la SEC acusó en 2019 de inflar ingresos en aproximadamente 50 millones de dólares. Matta pagó personalmente una multa de 700,000 dólares, reembolsó a Comscore 2.1 millones de dólares y aceptó una prohibición de 10 años para dirigir una empresa pública.

Nadie dijo nada sobre una privada.

Preocupaciones de seguridad

Los investigadores también encontraron errores de ejecución remota de código, fallas que permiten a un atacante ejecutar sus propios comandos en un televisor a través de una red, que LG no ha parcheado por completo. Un truco engaña al navegador integrado del televisor para que se empareje con una ventana emergente falsa de dispositivo móvil, entregando acceso remoto sin que nadie toque el televisor. LG pidió a los investigadores que mantuvieran los detalles técnicos mientras la divulgación aún está en curso.

Un televisor hackeado no es solo un dispositivo de escucha. La firma de seguridad Spur encontró código de proxy residencial, software que redirige silenciosamente el tráfico de internet de otra persona a través de la conexión doméstica del comprador para que parezca navegación doméstica ordinaria, escondido en aproximadamente el 42% de las aplicaciones en la tienda webOS de LG, según Krebs on Security. El vicepresidente senior de LG, John Taylor, dijo que la empresa está trabajando con los desarrolladores para eliminarlo o suspender las aplicaciones que lo contienen.

Los acuerdos de televisión y cuenta de LG superan juntos las 30,000 palabras, o aproximadamente de tres a cuatro horas de lectura a un ritmo promedio. Días después de que Gamers Nexus publicara su primer informe sobre LG en julio, LG agregó una cláusula de arbitraje forzoso a esos términos, impidiendo que los compradores demanden en los tribunales o se unan a una demanda colectiva. Momento conveniente.

En mayo, el Fiscal General de Texas, Ken Paxton, anunció un acuerdo que exige a LG obtener consentimiento informado antes de recopilar datos de visualización de ACR y dar a los usuarios una opción clara de exclusión, después de una demanda de diciembre que también nombró a Samsung, Sony, Hisense y TCL. Gamers Nexus descubrió que el interruptor de "No vender mi información personal" sigue desactivado por defecto, antes de que un comprador se conecte a internet o acepte algo. Así que eso fue todo.

Este parece ser un problema recurrente con las empresas tecnológicas que deciden comprometer la privacidad por conveniencia. Desde las gafas de IA de Meta que graban a extraños sin consentimiento hasta millones de personas que se apresuran a eliminar sus datos de ChatGPT esta primavera por problemas de privacidad. Gamers Nexus dice que ahora está financiando colectivamente una investigación de seguimiento sobre Samsung, Vizio y otras marcas de televisores inteligentes, mientras que los casos de Texas contra Sony, Hisense y TCL siguen abiertos en los tribunales.