Même éteints, ils vous espionnent. D’après un groupe de chercheurs indépendants, les téléviseurs LG sous webOS peuvent écouter et enregistrer leurs propriétaires à tout instant, même quand ils ne sont pas allumés, car leur microphone reste actif. Ils ont également la capacité de répertorier tous les appareils du foyer pour envoyer de la publicité. Ces failles pourraient être exploitées par un pirate.
Alerte à tous ceux et toutes celles qui possèdent une TV connectée LG. L’appareil vous espionne peut-être ! Une enquête menée par des chercheurs indépendants révèle que les appareils du fabricant sud-coréen sont capables d’écouter et d’enregistrer vos conversations à votre insu, mais également de réaliser une cartographie de votre réseau domestique. Ils peuvent même enregistrer du son alors qu’ils sont éteints ou en veille, puis de stocker les fichiers en local pour ensuite les envoyer vers les serveurs de la marque dès qu’il y a de la connexion. Avec 216 millions d’appareils vendus dans le monde, des millions de foyers sont potentiellement concernés.
Le microphone des téléviseurs LG reste actif même si l’appareil est éteint
Les chercheurs en cybersécurité ont examiné en particulier les téléviseurs OLED LG achetés dans le commerce, dont le LG OLED G5, le haut de gamme de la marque. Ils ont constaté que les commandes vocales pouvaient être retranscrites en texte clair et conservées dans les journaux de l’appareil. Aussi, ils ont remarqué que le microphone restait actif pendant 10 à 15 secondes après la fin d’une commande. Ce qui signifie que les propriétaires courent un risque d’être enregistrés pendant un court instant alors qu’ils croient avoir éteint leur téléviseur. L’enregistrement peut être récupéré et exploité.
Les téléviseurs LG testés balayaient activement le réseau local pour identifier les différents appareils connectés à proximité
En analysant le firmware et le trafic réseau, les chercheurs se sont rendus compte que les modèles de TV testés balayaient activement le réseau local pour identifier les différents appareils connectés à proximité. Notamment les smartphones, ordinateurs, imprimantes et autres équipements domotiques. Les téléviseurs recensaient également des informations sur les réseaux Wi-Fi environnants, comme leur nom et la puissance de leur signal. S’il est courant que des téléviseurs connectés communiquent avec d’autres appareils de la maison, cette pratique peut faciliter des intrusions ou menacer la vie privée.
La reconnaissance automatique des contenus pour identifier ce qui est regardé
Les enquêteurs ont également analysé les fonctions de collecte intégrées à webOS, indépendamment des failles de sécurité. Comme d’autres systèmes pour Smart TV, ces fonctions exploitent la reconnaissance automatique des contenus, ou ACR, pour identifier ce qui est regardé, y compris lorsque l’image provient d’une source HDMI. Associées aux identifiants publicitaires et aux informations recueillies sur le réseau local, ces données permettent aux fabricants de dresser un profil précis du foyer et de ses habitudes. LG s’en sert probablement pour alimenter son activité publicitaire LG Ad Solutions.
Tous les téléviseurs LG ne sont pas forcément des « espions »
Mais, comme déjà indiqué, il y a bien pire. Les vulnérabilités sont une aubaine pour les pirates informatiques. Elles facilitent l’exécution de code à distance sur webOS. En exploitant ces failles, un attaquant pourrait prendre le contrôle de votre téléviseur et détourner ses microphones. Si les modèles LG étudiés espionnent leurs utilisateurs, les chercheurs notent que cela ne signifie pas que tous les téléviseurs de la marque enregistrent continuellement les conversations de leurs propriétaires. Ils ont choisi de ne pas publier tous les détails de leur enquête pour laisser le temps au fabricant d’apporter des correctifs.
Samsung avait déjà averti ses clients que leur téléviseur pouvait les espionner
En juillet dernier, LG assurait pourtant que ses téléviseurs « ne collectent, n’enregistrent ni ne stockent les conversations ambiantes », comme s’il savait qu’il y avait une enquête en cours. Si le fabricant sud-coréen a certainement été pris la main dans le sac, il n’est pas le seul constructeur à s’adonner à de telles pratiques. Dès 2015, Samsung avait déjà prévenu ses propres clients qu’il valait mieux éviter les conversations sensibles devant son poste de télévision, car celui-ci peut capter la voix via sa reconnaissance vocale. Comme LG et Samsung, les marques expliquent que les utilisateurs peuvent modifier les conditions dans les réglages pour ne pas être « espionnés ». Sauf que ces paramètres sont généralement bien cachés dans des sous-menus que personne ne veut consulter par paresse.