スマートテレビは、マイクやアプリストア、広告システムを備え、家族が使うスマートフォンやノートパソコン、プリンター、スマートホーム機器と同じ家庭内ネットワークにアクセスできる、インターネット接続型のコンピューターです。
以前、当社は報じましたが、Samsungは自動コンテンツ認識（ACR）を用いた視聴データの収集・収益化を巡ってテキサス州司法長官との訴訟を和解で終結させています。
ACR技術は、テレビに表示される映像や音声をサンプリングしてデジタルフィンガープリントを作成し、それを参照データベースと照合する仕組みです。番組や広告、視聴習慣の特定に利用できます。
今回、Level1Techsおよび独立系セキュリティ研究者らとともにGamers Nexusが実施した新たな調査で、複数のLG製テレビモデルが検証されました。同チームによると、広範なデバイス・ネットワークの探索やACRによる追跡、そしてテレビが侵害された場合の被害を拡大しかねないセキュリティ上の弱点が見つかったといいます。
調査結果の一部はLGが意図した製品仕様に関するものですが、その他は研究者らが現在も責任ある開示プロセスを進めているという脆弱性に基づくものです。とはいえ、そこから導かれる大きな教訓は明確です。スマートテレビも、他のインターネット接続機器と同様のプライバシー・セキュリティ配慮が必要だということです。
Gamers Nexusによると、パケットキャプチャとファームウェア解析の結果、検証対象となったLG製テレビは、スマートフォンやPC、プリンター、スイッチ、スマートホーム機器といったローカルネットワーク上のデバイスを識別していたことが判明しました。また、この調査ではテレビが周辺のWi-Fiネットワーク名や電波強度情報、デバイス関連の識別子も収集していたと報告されています。
こうしたネットワーク情報は、家庭内にある他のデバイスの状況を把握する材料になり得ます。ACRデータや広告ID、その他の情報と組み合わせることで、視聴内容や使用機器についての詳細なプロファイルを構築できてしまう可能性があります。
研究者らはさらに、侵害されたテレビがマイクを通じて音声を録音できることも実証しました。テレビの電源が切れているように見える状態でも録音は可能でした。加えて、インターネットから切断された状態でもテレビが音声データを保存し、接続が復旧した後にそのデータを取り出せることも示されています。
研究者らはリモートコード実行（RCE）の脆弱性についてもLGに報告済みです。責任ある開示プロセスが進行中であるため、詳細はまだ公開されていません。
テレビが侵害されることは、単なるプライバシーの問題にとどまりません。攻撃者に家庭や職場のネットワークへの足がかりを与えたり、音声へのアクセスを許したり、他のデバイスを探る経路になったりする恐れがあります。
安全を保つには
こうした懸念は特定のブランドに限った話ではありません。スマートテレビはエンターテインメント、広告、そして家庭内ネットワークが交差する場所に位置しています。スマートテレビをセキュリティ上重要な機器として扱い、明確で意味のあるプライバシー選択を求めることは、自宅でのセキュリティ対策としてますます重要になっています。
過度に心配する必要はありませんが、テレビが収集する情報やアクセスできる範囲を制限するために、所有者が取れる実践的な対策がいくつかあります。
- ファームウェアアップデートを速やかに適用すること。特にセキュリティアップデートは重要です。お使いのモデルのサポートページやテレビのソフトウェア更新設定を確認してください。
- プライバシー設定を見直すこと。「設定」「プライバシーと利用規約」「ユーザー契約」などの項目を確認し、ACRや視聴情報の収集、パーソナライズ広告、音声認識など、不要な機能はオフにしましょう。
- すべての同意事項をデフォルトのまま受け入れないこと。各同意画面をよく読み、可能な限り任意の広告機能や音声データ関連機能は拒否してください。
- テレビやカメラ、スピーカーなどのスマートホーム機器には専用のIoTネットワークやゲストネットワークを利用すること。これにより、機器が侵害された場合でもメインネットワークへの被害範囲を限定できます。
- 本当に必要でない限り、ルーターのUPnPを無効化し、テレビのサービスを直接インターネットに公開しないようにすること。
以前公開したACR無効化ガイドには、主要な複数のテレビブランドに対応した手順が掲載されています。
