LG製スマートTVの広範なデータ収集が明らかに

YouTubeチャンネル「Gamers Nexus」の編集長Stephen Burke氏率いる調査チームは、LG製スマートTVが非常に広範なユーザーデータを収集している実態を明らかにしました。彼らの調査結果によると、テレビは音声認識が有効化されていない状態や、ディスプレイがスタンバイモードになっている間も音声を継続的にキャプチャしていたとのことです。（出典）

「これは極めて悪質なプライバシー侵害だ」とStephen Burke氏は指摘しています。

収集されたデータには、音声のプレーンテキストでの書き起こしに加え、IPアドレス、位置情報、近くのWi-Fiネットワーク名、信号強度、チャネル番号などが含まれます。さらに、テレビとペアリングされていないスマートフォン、スマートウォッチ、ルーター、サーモスタット、空気清浄機、サーバーのベースボード管理コントローラー、PCといったローカルネットワーク上のデバイスまで列挙されていたと報告されています。Wiresharkによるパケットキャプチャ分析では、動画で表示しきれないほどの大量のプライベートデータが確認されたとのことで、これらはLG機器のネイティブな動作であったとされています。

自分の家にある自作PCやネットワーク機器まで勝手にスキャンされるのは、正直ゾッとしますね。ローカルLLMを動かすマシン情報まで収集される可能性があると考えると、対策を検討せざるを得ません。

広告ビジネスとデータ収集の透明性

LGは、自社のハードウェアに広告ビジネス部門であるLG Ads Solutionsの技術が組み込まれていることを公言しています。2022年には、米国限定だった自動コンテンツ認識（ACR）技術を27カ国の製品に展開し、その洞察を広告ビジネスに活用すると発表していました。

LGはACRデータは匿名化され、プライバシー規制に従って扱われるとしています。（出典）

しかし、Gamers Nexusの調査結果は、LGの公表内容と乖離している可能性があります。特に、ディスプレイがスタンバイモード中も音声トランスクリプトを生成していた点は、製品説明やマーケティング資料には記載されていません。LGのウェブサイトでは、「Intelligent Voice Recognition」や「Clear Voice Pro」といった言葉で音声機能が説明されており、詳細なプライバシーポリシーを探すには、複雑なナビゲーションを要すると指摘されています。

主要なスマートTVメーカーはACRを展開していますが、ユーザーが利用できる制御レベルはベンダーによって異なります。以下に、一般的なスマートTVにおけるデータ収集の例をまとめます。

項目 LG TV（Gamers Nexusの指摘） 一般的なスマートTV（公式説明）
音声収集 スタンバイ中も継続、プレーンテキスト化 音声認識起動時のみ、匿名化
ネットワークスキャン ローカルデバイス（非ペアリング含む）まで列挙 通常はIPアドレス、視聴履歴など
データ保存 インターネット接続断絶時もローカル保存、再接続時に送信 通常は接続時に随時送信
目的 広告ビジネス利用 広告・コンテンツレコメンド、サービス改善

リモートコード実行の可能性と開発者への影響

Gamers Nexusのチームは、セキュリティ研究者と協力し、潜在的な脆弱性、特にリモートコード実行（RCE）の欠陥について責任ある開示を進めていると述べています。（出典）

スマートTVのRCE脆弱性は、デバイスの乗っ取りやプライベートネットワークへの侵入を許す深刻なリスクを伴います。

スマートTVは、もはや単なる表示デバイスではなく、インターネットに接続された多機能なコンピューティングデバイスです。そのため、OSやアプリケーションレイヤーでのセキュリティ対策が非常に重要になります。

RCE脆弱性がもし確認されれば、デバイスがマルウェアに感染し、自宅ネットワーク全体が危険に晒される可能性も否定できません。これは、開発者としてセキュリティ設計を考える上で、改めてIoTデバイス全般のサプライチェーンセキュリティと運用におけるパッチ適用やアップデートの重要性を認識させられる事態だと感じます。

過去にもスマートテレビのプライバシー問題は繰り返し報じられており、AppleInsiderの記事でも「スマートテレビはユーザーにとってプライバシーの問題を抱えてきた歴史がある」と指摘されています。（出典）