İsrail merkezli veri şirketi Bright Data’nın yazılımı, dünyanın dört bir yanındaki evlerin internet bağlantısını şirketin ticari veri toplama ağının parçasına dönüştürdü.

LG ve Samsung televizyonlar için hazırlanan yüzlerce uygulamaya yerleştirilen yazılım, üçüncü kişilerin internet trafiğini kullanıcıların ev bağlantısı ve IP adresi üzerinden geçirmesine olanak sağladı. Böylece şirketin müşterileri, internet sitelerine bir veri merkezinden değil, sıradan bir haneden bağlanıyormuş gibi görünebildi.

Bright Data bu altyapıyı, yapay zeka şirketleri dahil olmak üzere büyük miktarda internet verisi toplamak isteyen müşterilerine pazarlıyor. Kullanıcının satın aldığı televizyon, fark edilmesi güç bir onay ekranının ardından İsrailli şirketin küresel “konut tipi proxy” ağında çalışan bir çıkış noktasına dönüşüyor.

Akıllı televizyonların kullanıcıları izleme ve evdeki cihazları belirleme kapasitesiyse bununla sınırlı değil. LG televizyonlarda yapılan ayrı bir incelemede, cihazların bağlı oldukları ağı taradığı, çevredeki kablosuz ağlara ilişkin bilgi topladığı ve HDMI girişinden gösterilen içerikleri dahi tanımaya çalıştığı belirlendi.

6 bin uygulamanın üçte birinde proxy yazılımı

Güvenlik şirketi Spur Intelligence, LG’nin webOS ve Samsung’un Tizen mağazalarında bulunan 6 bin 38 uygulamayı inceledi. Bunların 2 bin 58’inde, yani yaklaşık üçte birinde, “konut tipi proxy” işlevi sağlayan yazılım tespit edildi.

Proxy yazılımlarının incelenen LG uygulamalarındaki oranı yüzde 42,5’e, Samsung uygulamalarındaysa yüzde 26,9’a ulaştı.

Akvaryum, ekran koruyucu, saat veya basit oyun görünümündeki bazı uygulamalar, arka planda televizyon sahibinin internet bağlantısını proxy şirketlerinin müşterilerine açıyordu. Araştırmada Bright Data’nın yanı sıra Massive ve Honeygain/Oxylabs gibi şirketlere ait yazılımlar da tespit edildi.

Spur’un verilerine göre Bright Data, Bright Data Ltd ve Bright SDK adlarıyla yayımlanan 367 uygulama proxy yazılımı içeriyordu. Araştırmacılar bazı uygulamaların, belirli bir işlev sunmaktan çok proxy yazılımının televizyonlarda çalışmasını sağlayan basit birer kabuk görünümünde olduğunu belirtti.

Bu yöntemle yapılan internet istekleri, veri merkezleri yerine sıradan ev bağlantılarından geliyormuş gibi görünüyor. Böylece internet sitelerinin otomatik veri toplama sistemlerine ve veri merkezi IP’lerine uyguladığı engeller aşılabiliyor.

Televizyon kapansa da çalışmayı sürdürüyor

Proxy yazılımı taşıyan uygulamalar kullanıcıya genellikle tek seferlik bir onay ekranı gösteriyor. Bu ekranlarda televizyonun “boştaki kaynaklarının” ve IP adresinin “kamuya açık internet verilerini indirmek” veya “web indeksleme” amacıyla kullanılacağı belirtiliyor.

Bazı uygulamalarda kullanıcıya reklam izlemekle internet bağlantısını paylaşmak arasında tercih sunuluyor. Örneğin Samsung televizyonlar için yayımlanan Pac-Man oyununda kullanıcı, reklamlı sürümü seçebiliyor veya reklamları kaldırmak karşılığında bağlantısının Bright Data tarafından kullanılmasına onay verebiliyor.

Kullanıcı onay verdikten sonra proxy hizmeti, uygulama kapatılsa bile arka planda çalışmayı sürdürebiliyor. Araştırmacılar, televizyon kumandasıyla geçilen tek seferlik bir ekranın, ev bağlantısının üçüncü kişilere açılmasının ne anlama geldiğini kullanıcıya yeterince anlatmadığını vurguluyor.

Bright Data ise sistemin “açık rızaya” dayandığını savunuyor. Şirket, her kullanıcının ayrı bir onay ekranıyla ağa katıldığını, müşterilerinin kimlik denetiminden geçirildiğini ve bağlantıların yalnızca kamuya açık internet verilerini toplamak amacıyla kullanıldığını ileri sürüyor.

Güvenlik sistemi ‘kötücül yazılımlardan bile zayıf’

Güvenlik kuruluşu Include Security, Bright Data’nın yazılım geliştirme kitini tersine mühendislik yöntemiyle inceleyerek sistemin nasıl çalıştığını araştırdı.

İncelemeye göre yazılım, Bright Data’nın sunucusuyla sürekli bağlantı kuruyor. Televizyon veya telefon uygun durumda olduğunda sunucu cihaza bir internet adresi gönderiyor; cihaz da istenen bağlantıyı kullanıcının IP adresi üzerinden gerçekleştiriyor.

Araştırmacılar, sunucudan gelen komutların mesaj imzası, istemci sertifikası veya cihaz doğrulamasıyla korunmadığını belirledi. Include Security, sistemin bu yönüyle sıradan kötücül yazılımların komuta-kontrol bağlantılarında görülen güvenlik önlemlerinden bile zayıf olduğunu kaydetti.

İncelemede yazılımın iOS sürümünün, cihazdaki VPN bağlantısını kullanmak yerine doğrudan fiziksel ağ arayüzüne bağlandığı da görüldü. Böylece proxy trafiği, kullanıcının VPN’ini ve buna bağlı denetimleri aşabiliyordu.

Bright Data, bu davranışın bir yazılım hatasından kaynaklandığını ve düzeltildiğini açıkladı. Şirket, proxy ağı üzerinden kişisel veri toplamadığını ve yalnızca kullanıcının IP adresiyle boştaki internet kapasitesini kullandığını savundu.

LG televizyon evdeki 38 cihazı belirledi

Akıllı televizyonların veri toplama faaliyetleri, uygulamalara yerleştirilen proxy yazılımlarıyla sınırlı değil.

Gamers Nexus, Level1Techs ve bağımsız güvenlik araştırmacılarının LG televizyonlar üzerinde yürüttüğü ayrı bir incelemede, cihazların bağlı bulundukları yerel ağı taradığı görüldü.

Test edilen televizyonlardan biri, araştırmadan haberi bulunmayan çalışanlara ait telefonların da aralarında bulunduğu 38 cihazı belirledi. Tespit edilen aygıtlar arasında akıllı saatler, yazıcılar, termostatlar, hava temizleme cihazları ve bir geliştirme kartı da yer aldı.

Araştırmacılara göre televizyon; cihazların dahili IP adreslerini, çevredeki kablosuz ağların adlarını, sinyal güçlerini ve kullandıkları kanalları da toplayabiliyordu. Çevredeki kablosuz ağlara ilişkin bu bilgiler, televizyonun fiziksel konumunun belirlenmesinde kullanılabiliyor.

Ağ trafiği kayıtlarında bilgilerin LG’nin reklamcılık iştiraki LG Ad Solutions’a gönderildiği belirlendi. Araştırmacılar, ağın taranması ve cihazların belirlenmesi işlemlerinin büyük bölümünün bir güvenlik açığından değil, televizyonun yerleşik özelliklerinden kaynaklandığını bildirdi.

HDMI’dan gelen görüntü de izleniyor

LG televizyonlarda ACR, yani “otomatik içerik tanıma” teknolojisinin yalnızca televizyon uygulamalarında değil, HDMI gibi harici girişlerde de çalıştığı belirtildi.

ACR, ekranda gösterilen içeriğin ses ve görüntü örneklerini çıkararak kullanıcının hangi programı, filmi, reklamı veya oyunu izlediğini belirliyor. Bu nedenle televizyona bağlanan dizüstü bilgisayarın, oyun konsolunun veya başka bir görüntü kaynağının ekranı da ölçümün kapsamına girebiliyor.

Araştırmacılar, test edilen bir televizyonun ayda yaklaşık 4 GB ACR bağlantılı veri alışverişinde bulunduğunu bildirdi.

LG Ad Solutions, ACR verilerini reklam verenlerin izleyicileri tanımasına ve televizyon kullanımını diğer cihazlardaki davranışlarla eşleştirmesine imkân sağlayan bir hizmet olarak pazarlıyor. Şirketin kendi açıklamasına göre reklam ağı dünya çapında 216 milyon LG televizyona erişiyor.

Sesli komutlar kayıtlarda bulundu

İncelemede, televizyona verilen sesli komutların yazıya dönüştürülerek cihazın kayıtlarında saklanabildiği de görüldü. Araştırmacılar mikrofonun, sesli komutun sona ermesinin ardından 10 ila 15 saniye daha etkin kalabildiğini belirtti.

Bazı ses verilerinin televizyon internetten çıkarıldığında cihazda tutulduğu, bağlantı yeniden kurulduğundaysa merkeze gönderildiği bildirildi.

Araştırma, LG’nin televizyonları bilinçli biçimde sürekli dinleme cihazı olarak kullandığı sonucuna varmıyor. LG de televizyonlarının ortamdaki konuşmaları sürekli biçimde toplamadığını, kaydetmediğini veya saklamadığını savunuyor. Bununla birlikte araştırmacılar, sesli komut sırasında çevredeki kişilerin konuşmalarının da kayda girebileceğine dikkat çekiyor.

Araştırmacılar ayrıca webOS’ta, televizyonun uzaktan dinleme aracına dönüştürülmesine imkân verebilecek güvenlik açıkları bulduklarını açıkladı. Açıkların ayrıntıları, sorumlu bildirim ve düzeltme süreci tamamlanana kadar yayımlanmadı.

Şirketler araştırmalardan sonra geri adım attı

Haziran ayında yayımlanan ilk araştırmada LG ve Samsung’un, proxy yazılımlarını açıkça yasaklayan bir politikası bulunmadığı belirtilmişti. İki şirket de bulguların kamuoyuna yansımasının ardından geri adım attı.

LG, konut tipi proxy işlevlerini kaldırmayan webOS uygulamalarının mağazadan çıkarılacağını açıkladı. Samsung da ağustos ayında proxy yazılımı içeren yeni uygulama başvurularını durdurduğunu ve mevcut uygulamaları kaldırmaya başladığını duyurdu.

Amazon ve Roku bu tür uygulamaları daha önce yasaklamıştı. Google da benzer proxy ağlarıyla bağlantılı Android uygulamalarına karşı Play Protect üzerinden uyarı sistemini devreye soktu.

Şirketlerin araştırmaların ardından attığı adımlar, akıllı televizyonların yıllardır yalnızca satın alınan bir tüketim malı değil, ev bağlantısının, ekranın ve kullanıcı davranışlarının sermaye tarafından sürekli paraya çevrildiği bir altyapı olarak işletildiği gerçeğini değiştirmiyor.

soL Haber'i WhatsApp ve Telegram kanallarından takip edin, önemli gelişmeleri kaçırmayın.