Une enquête menée sur des téléviseurs LG révèle qu’ils peuvent continuer à capter des données, notamment de l’audio, alors que l’écran est éteint. L’enquête a également révélé un balayage du réseau domestique et la collecte d’informations sur les appareils connectés.
Des TV qui collectent des données en veille
L’enquête de Gamers Nexus, réalisée avec Level1Techs et des chercheurs indépendants en cybersécurité, s’appuie notamment sur l’analyse du trafic réseau avec Wireshark et sur l’étude du fonctionnement du système d’exploitation webOS. Les tests menés sur plusieurs modèles OLED, dont le LG G5, ont montré que le téléviseur pouvait capter du son avec son micro alors que l’écran semblait éteint.
Le comportement observé est encore plus préoccupant lorsque le téléviseur perd sa connexion. Selon l’enquête, le téléviseur peut continuer à stocker localement certaines données audio, puis les transmettre lorsque la connexion Internet revient. L’enquête affirme également que les TV analysent le réseau local pour identifier des appareils comme des smartphones, ordinateurs, montres connectées ou équipements domotiques, ainsi que les réseaux Wi-Fi situés à proximité.
Les chercheurs ont par ailleurs identifié plusieurs failles de sécurité dans webOS susceptibles d’aggraver les conséquences d’une compromission. Certaines permettent potentiellement à un attaquant d’exécuter du code à distance, même si les équipes impliquées indiquent suivre une procédure de divulgation responsable pour ces vulnérabilités.
La collecte ne se limite pas non plus aux applications installées sur le téléviseur. Des tests indépendants réalisés sur le LG G5 ont identifié du trafic associé à la reconnaissance automatique des contenus (ACR) pendant l’utilisation d’applications, lors de la lecture de fichiers USB et avec des appareils connectés en HDMI, notamment une console de jeu.
LG conteste l’écoute des conversations
LG rejette toutefois l’interprétation donnée à ces observations. L’entreprise affirme que ses téléviseurs ne collectent, n’enregistrent et ne stockent pas les conversations ambiantes et précise que le traitement des données vocales intervient lorsque l’utilisateur active une fonction vocale, par exemple en maintenant le bouton dédié de la télécommande ou après avoir activé la reconnaissance vocale à distance.
La politique de confidentialité de LG indique de son côté que les informations vocales sont collectées lorsque l’utilisateur emploie une fonction nécessitant cette technologie ou autorise l’accès au micro. LG précise également que ces informations sont stockées sur l’appareil pendant la durée nécessaire à la fourniture du service.
La polémique porte aussi sur la reconnaissance automatique des contenus (ACR), une technologie qui analyse ce qui apparaît à l’écran afin d’identifier les contenus regardés. Des tests menés sur plusieurs marques montrent que cette collecte peut fonctionner avec les applications intégrées comme avec des sources HDMI et qu’elle peut être réduite en désactivant les options ACR lorsqu’elles sont clairement identifiées.
Pour limiter la collecte, les chercheurs recommandent notamment de désactiver les fonctions de reconnaissance vocale et les options de suivi liées au contenu, voire de maintenir le téléviseur hors ligne et d’utiliser un boîtier externe (Apple TV, etc) pour les services de streaming (Netflix, etc). Cette dernière mesure réduit fortement les communications du téléviseur avec Internet, tout en laissant le risque d’une collecte locale à prendre en compte tant que l’appareil reste connecté ultérieurement.
