LG 스마트 TV, 대기 모드에서 음성 녹음하고 가정 내 모든 기기 스캔한다

화면이 꺼져 있다. 리모컨이 놓여 있다. 마이크는 여전히 켜져 있다. Gamers Nexus의 연구진이 Level1Techs의 네트워크 보안 전문가들과 협력하여, webOS를 구동하는 LG 스마트 TV가 디스플레이가 대기 모드(대부분의 소유자가 기기가 실질적으로 꺼진 상태로 간주하는 상태)에 있을 때 내장 마이크를 통해 선명한 오디오를 캡처한다는 사실을 문서화했다. 소매용 LG OLED 하드웨어(현재 G5 모델 포함)를 대상으로 한 테스트에서 마이크는 화면이 활성화되어 있는지 여부와 관계없이 계속 작동했다.

녹음 데이터는 TV가 인터넷 연결을 잃어도 사라지지 않는다. 연구팀이 테스트 장치에서 이더넷 케이블을 분리하고 마이크 근처에서 소리를 발생시켰을 때, TV는 음성 입력을 로컬에 저장했다. 네트워크 접속이 복구되자 저장된 파일을 외부 서버로 전송했다. 이러한 행동은 데이터 수집이 실시간 스트리밍 과정이 아니라 네트워크 연결 여부와 관계없이 오디오를 캡처하도록 설계된 지속적인 로깅 시스템임을 시사한다.

오디오는 조사 결과의 한 측면에 불과했다. 와이어샤크(Wireshark) 패킷 캡처(기기에 출입하는 모든 트래픽을 기록하는 표준 네트워크 분석 기법)는 TV가 로컬 홈 네트워크를 지속적으로 스캔하고 있음을 보여줬다. 해당 스캔은 근처 휴대폰, 태블릿, 스마트워치의 내부 IP 주소를 수집했으며, 인근 Wi-Fi 네트워크의 이름과 신호 강도, 그리고 그 신호가 암시하는 위치 데이터도 함께 수집했다. 감시는 TV 자체를 넘어 동일한 라우터를 공유하는 모든 기기로 확장된다.

네트워크 스캔 데이터 중 일부는 LG의 광고 부문인 LG Ad Solutions로 흘러간다. LG Ad Solutions는 미국 내 3억 6300만 개의 ‘2차 주소 지정 가능 기기(secondary addressable devices)’에 접근할 수 있다고 주장한다. 이는 LG에 속하지 않지만 LG TV와 네트워크를 공유하는 하드웨어다. 이 수치는 작업의 규모를 보여준다: TV는 단순한 디스플레이가 아니라 가정 전체에 걸쳐 광고 프로필을 구축하는 게이트웨이 역할을 하고 있다.

LG는 기사 작성 시점까지 조사 결과에 대한 답변을 내놓지 않았다. 회사의 webOS 설정 과정에서는 데이터 공유 조항이 포함된 이용약관에 동의하도록 요구하며, 이는 데이터 수집의 법적 근거로 인용될 수 있다. 오프라인 오디오 저장 및 업로드 메커니즘이 LG가 유럽에서 TV를 판매하는 모든 곳에 적용되는 EU의 General Data Protection Regulation에 따라 합법적인 처리를 구성하는지 여부는 이 특정 구성에 대해 판결된 바 없다. 연구진은 또한 현재 책임 있는 공개(responsible disclosure) 절차가 진행 중인 webOS의 원격 코드 실행 취약점을 문서화했으며, 이는 외부 공격자가 잠재적으로 악용할 수 있는 별도의 공격 표면이 존재함을 의미한다.

LG가 프라이버시 조사에 직면한 첫 번째 스마트 TV 제조사는 아니다. 삼성, 비지오(Vizio), 로쿠(Roku)는 각각 시청 행동을 기록하기 위해 모든 HDMI 입력에서 콘텐츠를 지문 인식하는 기술인 자동 콘텐츠 인식(Automated Content Recognition)과 관련해 Federal Trade Commission의 조사를 받은 바 있다. LG 조사 결과를 차별화하는 점은 대기 모드에서의 마이크 동작과 능동적인 로컬 네트워크 스캔으로, 이는 콘텐츠 지문 인식을 넘어 가정 환경 모니터링까지 확장된다. Gamers Nexus 팀이 시청자에게 한 권고는 직접적이었다: TV를 인터넷에서 분리하고 대신 외부 스트리밍 기기를 사용하라.

조사 중 확인된 webOS 취약점은 현재 책임 있는 공개 절차 중에 있으며, 일반적으로 패치가 준비된 후 조정된 공개 일정을 거쳐 발표된다. LG의 webOS 플랫폼은 전 세계적으로 2억 대 이상의 TV에서 실행된다. 오디오 수집 행동을 해결하는 펌웨어 업데이트는 발표되지 않았으며, LG Ad Solutions는 조사 발표 이후 2차 기기 데이터 관행을 수정할지 여부를 확인하지 않았다.

태그: 사이버보안, 개인정보, Gamers Nexus, LG Ad Solutions, LG전자, webOS