VizioとSamsungのスマートテレビは、トラッキングのオプトアウトを無視しているようだ。

スマートテレビの監視機能を無効にすればプライバシーが回復すると思っているなら、考え直した方がいいでしょう。

ノースイースタン大学の研究者による調査で、一部のスマートテレビは、ユーザーがオプトアウトボタンを押した後でも、視聴しているコンテンツに関する情報を第三者に送信しているようだということが判明した。

「監視者を監視する」と題されたこの調査では、10社のメーカーから12台のスマートテレビをテストし、自動コンテンツ認識（ACR）からのオプトアウトをどの程度尊重しているかを調べました。ACRとは、スマートテレビから音声や動画コンテンツをキャプチャし、第三者（通常はテレビメーカー）にアップロードするテレビの機能です。

第三者は、視聴しているコンテンツを把握するために、このコンテンツをデジタル指紋に変換し、それを利用してターゲット広告を配信したり、他の企業が同様の行為を行うことを可能にしたりします。この機能はほとんどすべてのスマートテレビに搭載されており、昨年時点で米国の世帯の82%がスマートテレビを所有していました。

このテストでは、米国のスマートテレビの約95%で使用されている8種類のオペレーティングシステムを対象に、それぞれ10種類の視聴シナリオを実行しました。これらのシナリオは、アンテナテレビの視聴から、別のデバイスからの画面ミラーリングによる視聴まで多岐にわたります。研究者らは、メーカーのオペレーティングシステムに無料で付属する自社製ストリーミングサービスの利用に加え、サードパーティ製のストリーミングアプリを使用したセッションもテストしました。さらに、テレビをHDMIポート経由で別のデバイスに接続したセッションもテストしました。

本研究では、ACRを有効にした状態と、オプトアウト設定を選択した状態の両方で、すべてのテストを実施した。テスト全体では、5,000回以上の自動セッションが行われた。

調査によると、Vizioは、ユーザーがオプトアウトした後も、自社のストリーミングサービスやアンテナベースのテレビサービスを視聴している際に、トラフィックと思われるものを100%送信し続けていた。また、アイドル状態でも同じ量のトラフィックを送信していた。しかし、サードパーティのストリーミングデータに関しては、ACRトラフィックを一切送信していなかったという。

研究者らがACR機能を無効にした後も、サムスンはサードパーティのストリーミングサービスからのトラフィックを一部漏洩させていたようだ。研究者らはACRを無効にした後、サムスンの内蔵ストリーミングサービスを30回実行してテストしたところ、依然として「ACRと一致する」トラフィックが検出された。

オプトアウト後、Samsung TVのTizen OSは実行の7%でNetflixに関するACR関連のトラフィックを送信したようだった。 YouTube 10%の実行でACRが使用され、Tubi TVでは20%でした。HDMIセッションからは60%の確率でACRが送信されました。Vizio TVと同様に、自社製ストリーミングセッションでもすべてACRトラフィックが送信されました。

先月末、ある研究者がサムスンのスマートテレビをリバースエンジニアリングし、ACRを無効にすることがそのデバイスで効果があるかどうか疑問を呈した。

しかし、良いニュースもありました。研究者がACRをオフにした後、4つのスマートTVオペレーティングシステムが完全に沈黙しました。LGのWebOS、ソニーのGoogle TV OS、 AmazonのFireTV OSとSupersonicのVIDAA OSです。

暗号化は研究上の課題である

Vizioは、ユーザーの同意なしに1100万台のスマートテレビの視聴履歴を収集したとして、2017年に米連邦取引委員会（FTC）との和解で220万ドルを支払うことに合意した。当時、同社はユーザーがACR（自動コンテンツ認識）からオプトアウトできるようにすることで合意していた。

研究者たちがテストした Vizio TV は Kinesis にトラフィックを送信し、 Amazon -メーカーがスマートテレビからのデータを分析するために使用するデータ取り込みサービスを実行します。研究者らは、VizioテレビでACRを無効にしても、このドメインへのトラフィックに低下が見られなかったことに気づいた。彼らは次のように述べている。

「オプトアウト設定は、このエンドポイントに送信されるトラフィックに目に見える影響を与えません。ただし、暗号化されているためペイロードを検査することができず、これがFTCとの和解合意に違反しているかどうかを確認することはできません。」

これは今回の研究にとって大きな課題でした。なぜなら、サムスン製を含むほとんどのスマートテレビはACRトラフィックを暗号化しているからです。そのため、研究者たちは、送信先、タイミング、音量、プロトコルの詳細といった信号に基づいて、これがACRトラフィックであると推測する必要がありました。

例外の一つはSupersonic社のVIDAA OSで、これはACRデータを暗号化せずにサーバーに送信した。サーバーは認識したコンテンツのジャンルを暗号化せずに返信した。ネットワークを視聴している人なら誰でもすべて見ることができると警告した。また、テスト当時はサーバーにログインが不要だったため、他人のテレビから得られた5700万件以上のACR検出結果にアクセスできた。

Vizioの自社ストリーミングサービスであるWatchFree+は、視聴中の番組やチャンネルの暗号化されていないタイトルを、無料テレビサービスプロバイダーとのオンライン通信に送り込んでいた。研究者らは、これを無効にする方法はないと警告している。

ウォルマートは2024年にVizioを23億ドルで買収したが、その理由の一つは「広告主が大規模に顧客と有意義なつながりを築き、製品の発見を促進する」ためだった。

同社はまた、顧客データを利用して他の企業が顧客をターゲットにした広告を配信できるよう支援する小売メディア事業であるWalmart Connectも運営している。

ウォルマートは特にVizioの広告事業に関心を持っていたと、当時同社は述べていた。

「これをWalmart Connectと組み合わせることで、大きな効果が得られ、お客様のために事業への投資をさらに強化することが可能になります。」

スマートテレビの所有者ができること

視聴データを外部に送信する可能性のあるスマートテレビから身を守るにはどうすればよいでしょうか？研究者たちはいくつかの提案をしています。

• WebOS（LG）、Fire TV OS、ソニーのGoogle TV、SupersonicのVIDAA OSはいずれもACRのオプトアウトに対応しているようなので、これらのテレビでオプトアウトを選択しても問題ないはずです。
• テレビをインターネットから切断し、外部ストリーミングデバイスを使用してください。そうすれば、テレビはHDMI接続からデータを受信したとしても、それを送信できなくなります。
• ブロックリストを使用してください。これには少し技術的な知識が必要です。ブロックリストに対応しているインターネットルーターを使用している場合は、テレビのトラフィックが到達しないように、既知のACRエンドポイントのリストを追加できます。研究者たちは、そのリストをこちらで提供しています。

---

被害が及ぶ前に脅威を阻止しましょう。

Malwarebytes Browser Guard フィッシングページや悪意のあるサイトを自動的にブロックします。無料、ワンクリックでインストールできます。ブラウザに追加 →