Производители телевизоров признали, что полностью отключить сбор данных пользователей невозможно

Производители телевизоров и ТВ-приставок признали в разговоре с The Verge, что устройство с выходом в интернет передаёт часть данных в любом случае, и полностью запретить это в настройках нельзя. Исследование Северо-Восточного университета США показало, что у ряда брендов отказ от автоматического распознавания контента ACR не останавливает связанный с ним сетевой трафик. Телевизоры на Vidaa при этом отправляли сведения о просмотрах без шифрования, и получить их мог любой желающий.

The Verge разослал 11 компаниям 17 вопросов о сборе информации, голосовых функциях, распознавании контента и защите персональных данных. Ответили Amazon, Apple, Google, LG, Roku, Samsung и TCL, а Panasonic, Sony, Vizio и Hisense комментариев не дали. Amazon сообщила, что для базовой работы Fire TV нужен обмен данными с серверами, а Google указала, что часть телеметрии остаётся даже при отключённом облачном отслеживании. Телевизор может отправлять наружу сразу несколько групп сведений:

• список просмотренных каналов, приложений и программ;
• нажатия кнопок и запуск приложений;
• публичный IP-адрес и данные о соседних Wi-Fi-сетях для определения региона;
• имя, адрес электронной почты и дату рождения из учётной записи;
• голосовые команды, которые уходят на сервер после нажатия кнопки или слова активации.

ACR превращает короткий фрагмент звука или изображения в цифровой отпечаток и сверяет его с базой передач, фильмов и рекламных роликов. Рекламному рынку технология интересна тем, что работает независимо от источника сигнала, будь то HDMI-приставка, игровая консоль или эфирная антенна. Netflix знает только о просмотрах внутри собственного сервиса, а система телевизора может опознать контент, пришедший с любого входа. Samsung при этом заявила, что её телевизоры не делают скриншоты и не записывают видео просмотра.

Отказ от слежки сработал не везде

Исследователи проверили 12 телевизоров 10 производителей на восьми операционных системах, которые, по их оценке, занимают около 95% американского рынка Smart TV. За 5943 автоматизированных эксперимента один и тот же контент воспроизводили через эфирное телевидение, приложения, HDMI и трансляцию с мобильного устройства, повторяя каждый вариант по 30 раз до и после отказа от ACR в настройках. Итоги по системам разошлись:

• на LG webOS, Amazon Fire TV OS, Vidaa OS и Google TV на одном из телевизоров Sony отслеживание после отказа не нашли;
• на Samsung Tizen трафик сократился, но остался в 41 из 60 проверок эфирного телевидения и в 18 из 30 проверок HDMI;
• на Roku OS отказ не коснулся сервиса Roku Channel, а на телевизоре TCL обращения к серверам продолжились;
• на Vizio SmartCast заметного снижения трафика к серверу распознавания не было.

Большая часть трафика была зашифрована, поэтому исследователи классифицировали его по адресатам, объёму и времени отправки, а Vizio после публикации заявила, что найденная активность относится к диагностике, а не к ACR. Netflix и YouTube через ACR не отслеживались, зато эфирное телевидение распознавалось на всех системах, а подключение через HDMI не спасло от сбора данных на пяти из семи проанализированных систем. Для российских покупателей это актуально, ведь Samsung, LG, TCL и Hisense давно продаются в России, а названия настроек на местных прошивках могут отличаться от американских.

Телевизоры на Vidaa отправляли данные ACR без шифрования по протоколу MQTT на серверы рекламной платформы Unruly. Сервер без авторизации отдавал результаты распознавания чужих телевизоров, и за время эксперимента исследователи собрали более 57 млн записей, связанных с более чем 1 млн устройств, в том числе о политике, религии и здоровье. В каждом сообщении уходили сведения, позволявшие привязать просмотр к конкретному телевизору:

• постоянный идентификатор устройства и часовой пояс;
• название приложения и источник сигнала;
• номер эфирного канала и аудиоотпечаток контента.

После уведомления Vidaa закрыла сервер авторизацией, но сообщения по-прежнему передавались открытым текстом. Телевизоры Hisense на этой системе продаются и в России, поэтому их владельцам стоит проверить рекламные функции. Названия программ и каналов в сервисе Vizio WatchFree+ попадали в незашифрованные DNS-запросы, и наблюдатель сети мог восстановить порядок просмотров даже при отключённом ACR.

Amazon, Google, Roku, Samsung и TCL подтвердили, что без интернета часть данных копится на телевизоре и уходит на серверы после восстановления связи, а LG заявила, что эти данные не сохраняет. Постоянную запись разговоров в комнате производители отрицают и описывают голосовые функции как активируемые кнопкой или словом пробуждения. Полностью исключить телеметрию при работе в сети не удастся, но объём данных можно сократить несколькими шагами:

• найти разделы Viewing Information Services, Smart TV Experience, Live Plus или Automatic Content Recognition и отключить их;
• выключить персонализированную рекламу, отправку диагностики и рекомендации;
• отказаться от голосового помощника, если он не нужен;
• проверять настройки после крупных обновлений прошивки.

Эксперты CISOCLUB отметили, что умный телевизор давно превратился в сетевой компьютер с учётной записью, приложениями и рекламным модулем, а значит требует той же гигиены, что ноутбук. Передача ACR-данных открытым текстом, как у Vidaa, опаснее самого сбора, потому что позволяет любому наблюдателю в сети восстановить интересы владельца. Проверить, действует ли отказ в настройках, без анализа трафика нельзя, а рядовой пользователь на это не в состоянии. Телевизор разумно держать в отдельной гостевой сети и пересматривать параметры после каждого обновления. Покупателю стоит сравнивать модели по политике обработки данных наравне с диагональю и матрицей. Регуляторам напрашивается требование обязательного шифрования.

Ранее сообщалось, что телевизоры Samsung могут собирать звуки в помещении через подключённые саундбары и Bluetooth-микрофоны, даже если сами устройства не оснащены встроенным микрофоном. Об этом заявил исследователь под псевдонимом log4j, утверждающий, что его телевизор передавал аудиоданные без его согласия.