Les TV intelligentes de LG vous surveillent en cachette
Nous dénonçons depuis longtemps ce qui est en quelque sorte devenu la « nouvelle norme » : les téléviseurs et autres appareils connectés qui agissent littéralement comme des espions dans nos salons, nos chambres et nos bureaux.
La dernière enquête de Gamers Nexus illustre parfaitement les pratiques d’espionnage que des marques haut de gamme comme LG peuvent mener en coulisses — ou plutôt, derrière l’écran. La vidéo originale dure plus de deux heures, et nous vous recommandons vivement de la regarder dans son intégralité : elle est minutieuse, divertissante et profondément troublante. Pour ceux qui manquent de temps, voici les principales révélations.
Votre téléviseur vous écoute quand vous vous y attendez le moins
Une fois que les chercheurs ont accepté les conditions d’utilisation des téléviseurs LG — six d’entre elles, avec quatre autres documents en attente au niveau du compte LG pour pouvoir utiliser les applications, le téléviseur s’est mis au travail.
Elle a prélevé des extraits audio d’environ six secondes de tout ce qui était en cours de lecture, les a transformés en empreintes numériques compactes, puis a envoyé ces empreintes aux serveurs exploités par LG Ad Solutions, également connu sous le nom d’Alphonso. Ce phénomène s’est produit non seulement avec LG Channels et les fonctionnalités intelligentes, mais aussi lorsque le téléviseur était simplement utilisé comme écran pour un ordinateur portable connecté via HDMI.
Les données envoyées aux serveurs d’Alphonso associaient chaque empreinte à un identifiant d’appareil, un horodatage, la source d’entrée active et une localisation approximative. Avant que les conditions d’utilisation ne soient acceptées, les chercheurs n’ont constaté aucun envoi d’empreintes. Mais le téléviseur était loin d’être inactif. Il échangeait toujours des données avec les serveurs publicitaires et de données clients de LG et scannait de manière répétée le réseau local, détectant des ordinateurs, des téléphones, des serveurs, des imprimantes, des commutateurs réseau et d’autres équipements connectés.
LG cartographie votre domicile… et bien plus encore
Au cours des tests menés par les chercheurs, ce balayage du réseau a permis de détecter au moins 38 appareils, dont des téléphones personnels, des ordinateurs professionnels, des montres connectées, un thermostat et d’autres équipements domotiques.
Capture d’écran tirée de l’enquête de Gamers Nexus sur YouTube.
LG affirme que la détection des appareils aide ses téléviseurs à se connecter à d’autres équipements. Elle reconnaît également que les réseaux Wi-Fi à proximité et la puissance de leur signal peuvent être utilisés pour estimer l’emplacement du téléviseur. Quelle que soit la finalité déclarée, la plupart des gens ne s’attendent pas à ce qu’un téléviseur cartographie discrètement leur réseau domestique et aide à localiser précisément où il se trouve.
Les captures de trafic permettent de chiffrer l’ampleur de cette activité. Lors d’un test d’une heure, un LG G3 utilisé uniquement comme écran HDMI a envoyé des requêtes à 29 points d’accès différents, établissant au total 107 connexions. Quarante-quatre de ces connexions ont été établies avec les serveurs d’Alphonso, pour un transfert de données d’environ 4 Mo.
Capture d’écran tirée de l’enquête de Gamers Nexus sur YouTube.
Un modèle LG QNED plus récent ne s'est pas révélé plus silencieux. Au cours d'un autre test HDMI de 50 minutes, il s'est connecté à 22 terminaux à 157 reprises. Cinquante-quatre de ces connexions ont été établies avec Alphonso, transportant 5,2 Mo de données.
Capture d’écran tirée de l’enquête de Gamers Nexus sur YouTube.
Capture du son à 20 m de distance
Une fois la phrase d’activation prononcée, les chercheurs ont découvert dans la mémoire du téléviseur des transcriptions en texte clair de ce qu’il avait entendu. Même après que la personne eut fini de donner une instruction au téléviseur, celui-ci ne cessait pas toujours d’écouter. Le téléviseur attendait environ 10 à 15 secondes de silence avant de mettre fin à la session. Si une personne à proximité parlait pendant ce laps de temps, sa conversation pouvait également se retrouver dans la transcription. Avec une sensibilité du microphone accrue, le téléviseur captait des paroles intelligibles à près de 20 m de distance.
Dans son propre communiqué, LG indique qu’une session de reconnaissance vocale peut durer jusqu’à environ 18 secondes et reconnaît que des paroles prononcées à proximité peuvent apparaître dans les résultats de reconnaissance. LG soutient qu’il ne s’agit pas d’un enregistrement continu en dehors d’une session activée. Dans la pratique, un « Hi LG » prononcé délibérément peut tout de même être suivi de plusieurs secondes de conversation privée qui n’était absolument pas destinée au téléviseur. Les chercheurs n’ont pas prouvé que LG avait transmis ces transcriptions ; ils les ont simplement trouvées stockées sur le téléviseur. Mais le fait de capter davantage de paroles que ce que l’utilisateur souhaitait constitue en soi un problème de confidentialité.
Votre télécommande pourrait bien être à l’écoute elle aussi
L’enquête est ensuite passée de la collecte de données à l’analyse des failles de sécurité. Les chercheurs ont démontré qu’un pirate pouvait transformer le téléviseur en dispositif d’écoute même après la désactivation de son microphone principal intégré. Ils ont capturé le son HDMI et celui provenant d’une webcam USB connectée, ont intercepté le microphone de la télécommande lorsque son bouton vocal était enfoncé, et ont reconstitué la parole à partir d’un autre microphone de mauvaise qualité, celui du « retour haut-parleur ». La désactivation du microphone a permis de le faire taire, mais n’a pas empêché un téléviseur compromis de continuer à écouter.
Imaginez un appel confidentiel dans une salle de conférence d’hôtel ou un rendez-vous de télésanté diffusé sur un grand écran. Le téléviseur ressemble à un écran HDMI passif, mais un appareil compromis pourrait enregistrer le son alors qu’il est hors ligne, le stocker localement et le divulguer une fois reconnecté. Ce scénario n’est pas purement hypothétique. Lors d’un test mis en scène dans une salle de réunion, les chercheurs ont capturé une conférence téléphonique via HDMI alors que le téléviseur n’était pas connecté à Internet, puis ont récupéré l’enregistrement audio une fois celui-ci reconnecté.
Le suivi effectué par LG et ces failles de sécurité sont des problèmes distincts. Mais ils exposent au même risque pour la vie privée : l’écran présent dans la pièce peut devenir une paire d’oreilles supplémentaire.
La technologie derrière le suivi
Ce que les chercheurs ont observé dans ces captures de trafic porte un nom : la reconnaissance automatique de contenu, ou ACR.
En termes simples, le téléviseur prélève de courts échantillons de ce qui est diffusé, les transforme en « empreintes » et les compare à une base de données multimédia. Cela permet de déterminer si vous regardez un film, une émission, un jeu ou une publicité — même lorsque le contenu provient d’une console ou d’un ordinateur portable connecté via HDMI.
Cette technologie n’est pas nouvelle, pas plus que les préoccupations en matière de vie privée qu’elle soulève. Nous en avons parlé à plusieurs reprises — depuis [la manière dont les téléviseurs connectés identifient ce que vous regardez](GHOST_URL/en/blog/ smart-tv-ad-blocking.html) et l’insertion de publicités par LG dans les écrans de veille jusqu’au suivi par LG des contenus diffusés via les PlayStation et autres appareils HDMI.
LG explique dans son accord relatif à l’ACR et aux informations de visionnage et dans sa déclaration de confidentialité que l’ACR peut analyser la télévision en direct, les chaînes LG et les contenus provenant d’appareils HDMI. Ces empreintes peuvent être associées à des informations concernant le téléviseur, la source du contenu, le réseau, la localisation et les paramètres de consentement.
Le discours adressé aux annonceurs est encore plus direct. LG Ad Solutions affirme collecter des données d’audience « au niveau de l’écran » et les utiliser pour cibler les utilisateurs en fonction des programmes, des applications, des jeux, des consoles, des abonnements, de l’exposition publicitaire, des habitudes de visionnage et de la localisation. Son site web invite même les annonceurs à « s’approprier le salon et entourer le foyer LG connecté au-delà du téléviseur ».
Capture d’écran tirée de l’enquête de Gamers Nexus sur YouTube.
Gamers Nexus a montré à quoi ressemble cet argumentaire de vente de l’autre côté de l’écran : un téléviseur haut de gamme identifiant tout ce qui transite par lui, reliant ces informations à celles d’autres appareils et les transmettant à des serveurs publicitaires — même lorsque le téléviseur n’est utilisé que comme simple écran.
Les « dark patterns » transforment le choix en capitulation
LG affirme que l’ACR, la reconnaissance vocale et la publicité ciblée par centres d’intérêt sont facultatives et désactivées par défaut. L’entreprise traite également l’ACR et les publicités personnalisées comme des accords distincts. Sur le papier, le choix semble simple.
Sur le téléviseur lui-même, cependant, les choses deviennent plus floues. Pour télécharger une application, les chercheurs devaient uniquement accepter les Conditions d’utilisation et la Politique de confidentialité de LG. Or, le téléviseur affichait six accords et mettait en évidence l’option Tout sélectionner. Les quatre éléments supplémentaires — portant sur l’ACR et les données de visionnage, les informations vocales, la publicité ciblée par centres d’intérêt et multi-appareils, ainsi que les communications marketing — étaient facultatifs. Techniquement, cette distinction existait bel et bien. Mais l’interface de LG faisait en sorte qu’il était très facile de la manquer.
Capture d’écran tirée de l’enquête de Gamers Nexus sur YouTube.
Certaines applications exigeaient ensuite un compte LG, ce qui ajoutait quatre documents supplémentaires. Les conditions d’utilisation du compte LG, la politique de confidentialité du compte LG et la politique de confidentialité relative à l’adhésion aux produits Smart Media étaient obligatoires ; l’accord marketing ne l’était pas. Mais l’interface ne l’indiquait pas comme facultatif : les quatre accords semblaient tous aussi indispensables les uns que les autres, tandis que l’option Tout sélectionner était à nouveau mise en évidence — un autre « dark pattern » incitant les utilisateurs à accepter les communications marketing.
Capture d’écran tirée de l’enquête de Gamers Nexus sur YouTube.
Si quelqu’un suivait réellement les conseils de LG et lisait attentivement chaque contrat, il lui faudrait beaucoup de patience — et peut-être des piles neuves pour la télécommande. Parcourir les six contrats relatifs au téléviseur a nécessité 1 246 pressions sur les touches. Les quatre documents relatifs au compte LG en ont nécessité 1 459 supplémentaires. Cela fait 2 705 pressions sur les touches rien que pour passer la première étape.
Ces dix documents contenaient déjà plus de 30 000 mots. Les Conditions d’utilisation spécifiques aux États-Unis de LG et sa politique de confidentialité générale en ajoutaient 17 000 supplémentaires, portant le total à près de 50 000 mots — soit environ trois à quatre heures de lecture. Et il ne s’agissait pas de 50 000 mots de clauses standard inoffensives : des détails importants concernant la collecte d’adresses IP et MAC, de la localisation, des données audiovisuelles, des informations sur le routeur et de l’activité des appareils connectés étaient disséminés dans les documents et enfouis au plus profond du jargon juridique.
Les paramètres n’étaient guère plus clairs. Un bouton intitulé « Cookies » ne s’appliquait qu’aux cookies utilisés pour limiter la fréquence d’affichage d’une même publicité — et non aux cookies publicitaires ou de suivi en général. Sur un autre téléviseur LG plus ancien, une série de mises à jour du micrologiciel a ajouté un nouveau paramètre intitulé « Limiter le suivi publicitaire ». Il n’existait pas auparavant et semblait désactivé par défaut — ce qui signifiait que le suivi publicitaire n’était pas limité, même si le propriétaire n’avait accepté aucune nouvelle condition.
Capture d’écran tirée de l’enquête de Gamers Nexus sur YouTube.
Techniquement, les utilisateurs peuvent refuser. Mais quand accepter ne nécessite qu’un seul clic sur un bouton mis en évidence, tandis que comprendre l’alternative demande 2 705 clics et plusieurs heures de lecture de textes juridiques, qualifier cela de « consentement éclairé » relève de la générosité.
Ce que les utilisateurs d’AdGuard peuvent faire pour y remédier
Le moyen le plus sûr d’empêcher une smart TV de communiquer avec son fabricant est de la déconnecter d’Internet (et de la laisser ainsi — Gamers Nexus a démontré qu’une télévision piratée peut enregistrer des données audio hors ligne et les transmettre une fois reconnectée). Pour ceux qui souhaitent tout de même profiter des fonctionnalités connectées, AdGuard propose plusieurs niveaux de protection réseau.
L’option la plus simple est le DNS public d’AdGuard. Il est gratuit et peut être configuré sur le téléviseur ou, mieux encore, sur le routeur pour protéger l’ensemble du réseau. Il bloque les domaines connus liés à la publicité, au suivi, au phishing et aux logiciels malveillants, mais ne fournit pas de statistiques par appareil ni de règles personnalisées.
Le DNS privé AdGuard ajoute ces contrôles. Les utilisateurs peuvent voir quels domaines chaque appareil contacte, choisir des listes de blocage, créer des règles et configurer le filtrage séparément pour chaque appareil — y compris le téléviseur. Cela permet de voir beaucoup plus facilement ce que le LG dans le coin essaie d’atteindre.
Ceux qui préfèrent tout gérer sur leur propre matériel peuvent utiliser AdGuard Home. Il offre des journaux détaillés, des filtres personnalisés et des règles par appareil sans faire transiter le traitement DNS par un serveur tiers, même si sa configuration demande davantage d’efforts.
En effet, AdGuard Home a fait une apparition inattendue dans la suite de l'article de Gamers Nexus. Un utilisateur de Reddit a connecté un LG C4 à un réseau IoT isolé et a redirigé son DNS via AdGuard Home. En moins de 12 heures, us.nextlgsdp.com était devenu le domaine le plus bloqué, générant 4 615 requêtes. Selon le propriétaire, le téléviseur n’avait même pas été allumé pendant cette période. Un autre utilisateur a signalé que son téléviseur LG figurait systématiquement en tête de la liste des requêtes bloquées.
C’est là que le filtrage DNS fait ses preuves : il révèle où le téléviseur tente de se connecter et bloque les destinations indésirables. Mais il ne peut que surveiller l’entrée ; il ne peut pas modifier ce qui se passe à l’intérieur du téléviseur. Le problème, c’est que le filtrage DNS bloque des domaines entiers. Si le suivi et une fonctionnalité utile partagent le même domaine, son blocage peut également empêcher le fonctionnement d’une application, d’une recommandation ou d’une mise à jour. Il ne peut pas non plus empêcher le traitement ACR local, la capture par le microphone, l’analyse du réseau ou les failles de sécurité.
Pour un isolement plus efficace, placez le téléviseur sur un réseau IoT ou un VLAN distinct et utilisez des règles de pare-feu pour l’isoler des ordinateurs, téléphones et autres appareils de confiance. Sur Android ou Google TV, AdGuard pour Android TV permet d’ajouter un filtrage sur l’appareil et des contrôles de pare-feu. Il ne peut pas être installé sur le webOS de LG.
Aucun outil ne permet à lui seul de transformer une smart TV opaque en un appareil respectueux de la vie privée. Concrètement, le choix se résume à la garder hors ligne ou à limiter son accès au réseau domestique et au monde extérieur.
La réponse de LG ne résout pas le problème fondamental
Sans surprise, LG a rejeté le rapport de Gamers Nexus en le qualifiant de « faux » — en d’autres termes, de « fake news ». La société a ensuite publié une déclaration plus détaillée sur la confidentialité des téléviseurs connectés, ce qui a suscité une réponse point par point de la part de Gamers Nexus.
Ironiquement, en tentant de démolir ce rapport, LG a confirmé bon nombre de ses affirmations. L’ACR fonctionne bel et bien sur les contenus HDMI et peut associer les empreintes qu’il génère à des informations concernant le téléviseur, la source du contenu et le réseau. Il peut également utiliser les réseaux Wi-Fi à proximité pour estimer la localisation. LG a également reconnu que les données de visionnage pouvaient être partagées avec LG Ad Solutions. Dans des États comme la Californie, qui dispose de l’une des législations les plus strictes des États-Unis en matière de protection de la vie privée, cela pourrait légalement être considéré comme une vente ou un partage d’informations personnelles.
La défense de LG se résume essentiellement à deux arguments : les utilisateurs ont donné leur accord, et l’ACR envoie des empreintes plutôt que des enregistrements bruts. Mais personne n’a accusé LG de mettre en ligne des films entiers. Le problème est que le téléviseur reconnaît tout ce qui passe par ses ports HDMI et associe cette activité à des données relatives à l’appareil, au réseau, à la localisation et à la publicité.
De même, qualifier l’ACR d’« optionnel » ne rend pas tout cela acceptable. Pas quand l’option Tout sélectionner est mise en surbrillance, que les paramètres portent des noms prêtant à confusion, que des options facilitant le suivi apparaissent par défaut, et qu’il faut des milliers de clics et des heures de lecture de mentions légales pour comprendre ce à quoi on consent. LG insiste sur le fait qu’il n’utilise pas de « dark patterns ». Mais il n’explique tout simplement jamais pourquoi son interface s’en rapproche autant.
La réponse de LG comble peut-être certaines lacunes techniques, mais elle confirme surtout à quel point la collecte de données peut se cacher derrière un simple écran de télévision. L’enquête et son suivi méritent d’être suivis dans leur intégralité. Ils montrent que le problème dépasse le cadre d’un simple paramètre ou d’un domaine de communication : une télévision connectée est équipée de microphones, de technologies de suivi et occupe une place de choix pour observer votre vie à la maison. « Arrêt » devrait signifier « arrêté », et un téléviseur utilisé comme écran d’ordinateur devrait se comporter comme tel — sans 2 705 pressions sur des boutons ni près de 50 000 mots de jargon juridique.
