Des chercheurs et créateurs spécialisés en technologie affirment avoir identifié plusieurs vulnérabilités sur des téléviseurs LG équipés de webOS, susceptibles selon eux de permettre une écoute à distance après compromission de l’appareil. LG conteste une partie de ces accusations et assure que ses téléviseurs n’enregistrent pas les conversations ambiantes sans activation volontaire des fonctions vocales.
Les travaux ont été présentés par la chaîne Gamers Nexus avec l’appui de Level1Techs et de chercheurs indépendants en cybersécurité. Leur analyse s’est notamment intéressée au comportement réseau de téléviseurs OLED de la marque.
Selon leurs constatations, certains modèles analysent le réseau local afin d’identifier les appareils présents, leurs adresses IP ainsi que les réseaux Wi-Fi environnants. Cette fonction sert notamment à permettre les interactions entre le téléviseur et d’autres équipements connectés.
Les chercheurs estiment toutefois que des vulnérabilités découvertes dans cet environnement pourraient être exploitées pour prendre le contrôle de certaines fonctions de l’appareil. Une fois compromis, un téléviseur pourrait selon leurs tests être utilisé pour enregistrer des sons alors qu’il se trouve en veille.
Ils affirment également qu’un appareil déjà compromis pourrait continuer à stocker localement des enregistrements lorsqu’il n’est plus connecté à Internet, avant de les transmettre après le rétablissement de la connexion.
Les détails techniques complets des vulnérabilités n’ont pas été rendus publics. Cette précaution vise à laisser du temps au constructeur pour déployer d’éventuels correctifs avant de documenter précisément les méthodes d’exploitation.
LG a rejeté l’idée selon laquelle ses téléviseurs écouteraient systématiquement les conversations de leurs utilisateurs. Le groupe précise que les données vocales ne sont traitées que lorsque le bouton dédié de la télécommande est utilisé ou lorsqu’un mot d’activation est détecté après activation préalable de la reconnaissance vocale à distance.
Lorsque cette fonction est activée et que le téléviseur reste en veille, la détection du mot d’activation est effectuée localement. LG assure que les données audio correspondantes sont immédiatement supprimées lorsqu’aucune commande n’est reconnue et qu’elles ne sont pas envoyées à ses serveurs.
Le constructeur confirme également que ses téléviseurs peuvent rechercher les appareils présents sur un même réseau local afin d’assurer certaines fonctions de connexion, de partage de contenu et de maison connectée.
La controverse concerne aussi la reconnaissance automatique de contenu ACR. LG indique que cette technologie fonctionne sur la base d’un consentement explicite de l’utilisateur et que les informations collectées ne sont pas utilisées à des fins publicitaires lorsque l’autorisation correspondante n’a pas été accordée.
Le groupe affirme par ailleurs collaborer avec des spécialistes indépendants afin d’identifier les vulnérabilités et de publier des mises à jour de sécurité. Il assure également que les options liées à l’ACR, à la reconnaissance vocale et à la publicité personnalisée peuvent être désactivées depuis les réglages du téléviseur.
Les chercheurs à l’origine des investigations recommandent néanmoins aux utilisateurs préoccupés par ces risques de vérifier leurs paramètres de confidentialité et de désactiver les fonctions dont ils n’ont pas l’usage. Dans l’attente d’éventuels correctifs, ils considèrent qu’isoler le téléviseur du réseau reste la mesure la plus radicale face aux vulnérabilités qu’ils disent avoir découvertes.
