L’indagine su LG webOS: audio in standby, scansioni di rete e rischi di sicurezza

L’aspetto centrale dell’indagine di Gamers Nexus non è l’affermazione che ogni televisore LG registri continuamente chiunque si trovi in casa. I test controllati condotti su alcuni modelli OLED LG con webOS avrebbero però mostrato funzioni e vulnerabilità che pongono questioni rilevanti di privacy e sicurezza: acquisizione dell’audio mentre il display sembrava spento in standby, conservazione locale dei dati senza connessione, invio successivo al ritorno online e ampia ricognizione della rete domestica. 257

Cosa è emerso dai test

Audio acquisito mentre la TV sembrava spenta

Nei test al banco, i ricercatori dichiarano di aver recuperato audio nitido dal microfono di un OLED LG quando lo schermo era nero e l’apparecchio sembrava in standby. Secondo le ricostruzioni pubblicate, il televisore poteva salvarlo localmente e trasmetterlo quando la connessione Internet veniva ripristinata. 5715

La distinzione è importante: standby non significa assenza di alimentazione. Con lo schermo spento, una smart TV può continuare a ricevere corrente per le funzioni in background. Staccare la spina, oppure togliere alimentazione da una presa comandata, è una misura sostanzialmente diversa. 27

Scollegare Internet non avrebbe fermato l’archiviazione locale

La documentazione citata riporta che, dopo lo scollegamento del cavo Ethernet, sul televisore testato continuavano ad accumularsi file audio e di testo. Una volta ripristinata la connettività, il materiale memorizzato sarebbe stato caricato. 5713

In altre parole, una disconnessione temporanea da Internet non va considerata una prova che il dispositivo abbia smesso di raccogliere dati: nel test riportato avrebbe modificato il momento dell’invio, non impedito la conservazione locale. 57

Log testuali e mappatura della rete di casa

I ricercatori e le testate che hanno seguito il caso descrivono log in chiaro memorizzati sul dispositivo e associati all’input vocale, oltre al rilevamento di apparecchi presenti sulla rete locale. L’inventario segnalato comprendeva telefoni, PC, stampanti, apparati di rete e dispositivi per la casa connessa, nonché nomi e intensità del segnale delle reti Wi‑Fi circostanti. 467

L’indagine collega questa telemetria alle attività pubblicitarie di LG, sollevando l’ipotesi che le informazioni sull’ecosistema di dispositivi e sulla rete di un’abitazione possano servire alla profilazione del pubblico e alla pubblicità mirata. 13

ACR anche oltre le app integrate

L’Automatic Content Recognition (ACR, riconoscimento automatico dei contenuti) è una tecnologia usata per identificare ciò che viene mostrato o riprodotto. L’indagine riferisce che la funzionalità ACR proprietaria di LG poteva riconoscere contenuti attraverso diversi ingressi, comprese fonti HDMI esterne, e non soltanto nelle app eseguite direttamente sulla TV. 810

Per chi guarda contenuti in casa, questo significa che le valutazioni sulla privacy possono riguardare anche una console, un decoder, un lettore Blu-ray o un computer collegato al televisore, a seconda di modello, impostazioni e configurazione software.

Perché le vulnerabilità webOS aumentano il rischio

I ricercatori hanno inoltre segnalato debolezze di sicurezza in webOS, incluse possibili vie per l’esecuzione remota di codice. La conseguenza va letta in modo condizionale: se un aggressore riuscisse a compromettere la TV, microfoni e altri ingressi già presenti potrebbero essere abusati come strumenti di sorveglianza. 415

Questo non equivale a dimostrare che LG registri segretamente e in modo universale tutte le conversazioni domestiche. Una delle ricostruzioni dell’indagine precisa che la dimostrazione di registrazione su una TV compromessa richiedeva ai ricercatori di controllare il dispositivo di prova; non dimostrava quindi una registrazione occulta attiva per impostazione predefinita su tutti gli apparecchi. 37

Cosa dimostra l’indagine — e cosa no

Le evidenze riportate sono sufficienti per suggerire prudenza, ma hanno limiti precisi:

• Le dimostrazioni hanno riguardato specifiche TV OLED/webOS acquistate al dettaglio e testate in condizioni controllate. Non provano un comportamento identico per ogni modello, Paese, versione firmware, stato dell’account o combinazione di impostazioni. 57
• I test indicano che, nelle condizioni esaminate, acquisizione, archiviazione e invio successivo dell’audio erano possibili. Da soli non dimostrano una registrazione continua di tutte le stanze di tutti i proprietari. 2537
• Una falla di sicurezza aumenta le possibili conseguenze di una compromissione, ma non è prova che ogni TV sia già stata compromessa. 437
• LG aveva in precedenza dichiarato che i suoi televisori non raccolgono, registrano né conservano conversazioni ambientali; secondo le fonti disponibili, tale posizione appare in tensione con i risultati dei test. Nel materiale fornito non compare una risposta tecnica aggiornata di LG, dettagliata modello per modello, sulle eventuali correzioni. 17

Come ridurre il rischio privacy di una smart TV

Nessuna singola voce di menu consente da sola di verificare il comportamento di rete della TV. È più utile adottare più livelli di protezione.

1. Scollegare la TV da Wi‑Fi ed Ethernet se le funzioni smart non servono. È il modo più diretto per impedire al televisore di inviare dati tramite la rete. Un dispositivo di streaming separato comporta comunque propri compromessi sul piano della privacy e va valutato a parte. 5
2. Usare una rete ospiti o una VLAN se la TV deve restare online. Isolare il televisore da computer, telefoni, NAS e dispositivi domotici limita ciò che può rilevare nella rete principale. Regole di router, firewall o DNS per limitare il traffico in uscita possono ridurre ulteriormente l’esposizione. 4
3. Disattivare le funzioni dati non indispensabili. Dove disponibili, disabilitare ACR, personalizzazione pubblicitaria, comandi vocali, autorizzazioni del microfono e altre opzioni di condivisione dati. Sono misure che riducono il rischio, non una garanzia assoluta. 10
4. Aggiornare webOS e ridurre i servizi di rete superflui. Installare tempestivamente il firmware, evitare reti non affidabili e disattivare UPnP quando pratico sono precauzioni ragionevoli in presenza di vulnerabilità segnalate. 48
5. Togliere alimentazione quando serve una certezza maggiore. In un ambiente sensibile, staccare la spina o usare una presa con interruttore elimina l’ambiguità dello standby. 27

In sintesi

L’affermazione più rilevante dell’indagine è che una TV LG webOS testata poteva acquisire e salvare audio in standby, conservarlo dopo la disconnessione da Internet e inviarlo in seguito, mentre rilevava anche elementi della rete domestica. 57 Si tratta di risultati seri, ma vanno interpretati come capacità osservate su dispositivi e configurazioni specifici, non come una conclusione generalizzata su tutti i televisori LG. Per chi vuole ridurre il rischio al minimo praticabile, l’isolamento in rete o la disconnessione completa sono più affidabili del solo affidarsi alle impostazioni sulla privacy. 45