Исследователи обнаружили утечку данных о просмотрах с умных телевизоров

Исследователи Северо‑Восточного университета обнаружили более 57 млн общедоступных записей о контенте, который смотрели пользователи умных телевизоров. Данные были связаны более чем с 1 млн уникальных устройств. В отдельных случаях телевизоры продолжали передавать информацию даже после отключения функции автоматического распознавания контента (ACR).

Работа под названием Watching the Watchers охватила 12 моделей телевизоров десяти производителей. Устройства работали на восьми операционных системах, которые вместе занимают около 95% американского рынка смарт‑телевизоров. Для проверки исследователи провели почти 6 тыс. автоматизированных экспериментов, оценивая работу систем слежения, эффективность отказа от сбора данных и доступность сведений о просмотрах.

Самая серьёзная проблема обнаружилась в Vidaa

Наиболее серьёзную уязвимость нашли в операционной системе Vidaa. Система ACR передавала данные на серверы Unruly по незашифрованному протоколу MQTT. Соединение не требовало аутентификации, поэтому третьи лица могли просматривать результаты распознавания контента с других телевизоров.

В сообщениях содержались постоянный идентификатор устройства, часовой пояс, название приложения, источник входного сигнала, номер телеканала и аудиофингерпринт. Исследователи собирали информацию в течение трёх часов — эксперимент ограничили по этическим соображениям. За это время они получили свыше 57 млн записей, охватывавших 82 категории контента, включая политику, религию, здравоохранение и медицину.

Метаданные приложений позволяли предположить наличие потенциально чувствительных интересов пользователей. Отдельную обеспокоенность вызвало отслеживание через Vidaa Kids, поскольку оно могло затрагивать детей. Другое приложение передавало названия фильмов и телепередач напрямую.

После раскрытия проблемы Vidaa подтвердила её наличие и добавила аутентификацию. Однако, по словам исследователей, сообщения по-прежнему оставались незашифрованными. Команда также воспроизвела ранее обнаруженное сообщение, которое достигло тестового телевизора. Вредоносные данные исследователи не отправляли, поэтому возможные последствия такой возможности подтвердить не удалось.

Отключение ACR работало не на всех устройствах

ACR определяет программы, сопоставляя аудио- и видеотпечатки с эталонными библиотеками. Во время тестов проверялись разные сценарии: эфирное телевидение через антенну, стриминговые сервисы, подключение устройств по HDMI, зеркалирование экрана и режим ожидания.

Полный отказ от участия корректно работал на протестированных версиях LG webOS, Sony Google TV, Amazon Fire TV и Vidaa. При этом у других платформ исследователи зафиксировали остаточный трафик. В 30 тестах встроенный стриминговый сервис Tizen от Samsung продолжал создавать трафик, соответствующий заявленным параметрам распознавания. Передача данных также наблюдалась при просмотре через антенну, HDMI и Tubi.

После отключения SmartCast на телевизорах Vizio трафик к точке распознавания Amazon Kinesis заметно не уменьшался. Настройки Roku не распространялись на собственный стриминговый сервис компании. Большая часть трафика была зашифрована, поэтому исследователи могли установить сам факт передачи, но не всегда могли определить содержание сообщений, дальнейшую обработку данных и срок их хранения.

Просмотры можно восстановить и без ACR

Сервис WatchFree+ от Vizio раскрывал названия программ и каналов через незашифрованные DNS-запросы и поле TLS Server Name Indication, связанное с потоковым провайдером Amagi. Это позволяло наблюдателю, анализирующему сетевой трафик, восстановить последовательность просмотра независимо от настроек ACR.

Авторы подчёркивают, что результаты относятся к протестированным устройствам и версиям прошивок и не позволяют делать выводы обо всех телевизорах. Они рекомендуют шифровать и защищать аутентификацией трафик систем распознавания, проводить независимые проверки механизмов отказа от сбора данных и не включать сведения о просмотре в имена хостов потоковых сервисов. Кроме того, производителям следует яснее сообщать, какие входные данные и приложения контролируются системами отслеживания.