Smart TV’s en streaming devices extreem gevoelig voor exploits

In het onderzoek werden diverse topmerken onder de loep genomen zoals Samsung, Philips, LG, Sony, Vizio en streaming devices zoals de Roku Ultra. Veel van de smart TV’s die onderzocht werden, met name TV’s die gebruik maken van het Roku TV smart-TV-platform, werken met een onveilige remote control API die door hackers gebruikt kan worden om functies van je smart TV over te nemen.

Hiervoor moet wel een stukje code geactiveerd worden op een device die zich op hetzelfde netwerk als de TV bevindt, bijvoorbeeld via een phishing mail. Echter, dit is een relatief makkelijke manier om een TV over te nemen waarbij verregaande technische kennis niet noodzakelijk is.

Na uitvoering van de code kan een hacker bepaalde TV-functies als het wisselen van kanaal of het volume aanpassen uitvoeren. Dat is wellicht niet zo’n ramp, hoewel het uiteraard vervelend is. Wel vervelend is dat het ook mogelijk is om data te verzamelen van de eigenaar van de TV.

Volgens het rapport doet Samsung meer moeite om ongewenste toegang tegen te gaan op hun smart TV’s, maar dat heeft slechts wisselend succes en ook op die devices is het mogelijk om de TV binnen te komen. Samsung heeft al gereageerd op het onderzoek en geeft aan nog dit jaar met security-updates te komen.

ACR levert een risico

Via automatic content recognition (ACR) wordt er een profiel gemaakt van de kijker zodat er gericht geadverteerd kan worden. Deze data is toegankelijk voor hackers die zich toegang weten te verschaffen tot een smart TV. Persoonlijk informatie of activatie van een aanwezige cam is niet mogelijk, maar via ACR wordt het wel mogelijk om een profiel van een gebruiker te schetsen, wat uiteraard net zo onwenselijk is.

Opgeven van functionaliteiten

Een oplossing is het uitschakelen van de externe control-functionaliteiten, maar dat betekent dat je als gebruiker ook direct een hoop functionaliteiten opgeeft die een smart TV nu juist zo aantrekkelijk maken. Hoe fabrikanten, naast de updates die Samsung dit jaar zal uitrollen, actie gaan ondernemen is nog niet bekend.