Des jeux, économiseurs d’écran et autres applications apparemment anodines pouvaient transformer certains téléviseurs Samsung et LG en relais pour le trafic Internet de clients tiers. Les deux constructeurs ont désormais décidé de faire le ménage dans leurs boutiques.
Il y a quelques mois, nous expliquions comment certaines applications installées sur les téléviseurs connectés pouvaient utiliser la connexion du foyer pour alimenter des réseaux de proxys résidentiels. Le mécanisme permet de faire transiter des requêtes Internet par l’adresse IP d’un particulier, parfois en échange d’un accès gratuit ou sans publicité à une application. Une pratique qui est désormais dans le viseur de Samsung et LG. Après LG en juillet, Samsung vient à son tour de modifier les règles de sa plateforme et promet de retirer les applications intégrant ce type de fonctionnalité.
Des applications transformaient le téléviseur en relais Internet
Le sujet a pris de l’ampleur après une étude de la société de cybersécurité Spur. Ses chercheurs ont analysé 6 038 applications distribuées sur les boutiques webOS de LG et Tizen de Samsung. Ils affirment avoir identifié des composants de proxy résidentiel dans 2 058 d’entre elles, soit environ un tiers de l’échantillon. L’écart entre les deux plateformes est notable : 42,5 % des applications webOS analysées étaient concernées, contre 26,9 % côté Tizen. L’essentiel de ces composants provenait de quelques acteurs spécialisés, dont Bright Data, identifié dans 367 applications.
Les applications en question pouvaient prendre la forme de jeux simples, d’horloges, d’économiseurs d’écran ou encore d’aquariums virtuels. Une fois l’autorisation accordée, le téléviseur pouvait continuer à faire transiter du trafic même après la fermeture de l’application.
Le principe n’est pas nécessairement illégal. Les proxys résidentiels servent notamment à tester différentes versions locales d’un site, à contourner certaines formes de censure ou à collecter des données publiques. Ils peuvent néanmoins aussi être utilisés pour masquer l’origine de campagnes de fraude, de scraping massif ou d’autres activités malveillantes.
Le principal problème tient donc au consentement. Une demande affichée une seule fois sur le téléviseur suffit-elle réellement à expliquer que l’adresse IP et la connexion du foyer pourront ensuite être mises à disposition d’entreprises tierces ?
Samsung et LG ferment désormais la porte
LG a été le premier à réagir. Le constructeur travaille avec les développeurs afin qu’ils retirent les fonctions de proxy résidentiel de leurs applications webOS. Celles qui refuseront de se mettre en conformité pourront être suspendues de la boutique.
Samsung lui emboîte désormais le pas. Le fabricant a déjà bloqué l’enregistrement de nouvelles applications intégrant ces composants et prépare une politique interdisant explicitement les SDK de proxy résidentiel sur Tizen. Il prévoit également de retirer les applications déjà distribuées qui ne respecteraient pas ces nouvelles règles.
La décision intervient après une nouvelle analyse menée par la société norvégienne de cybersécurité Mnemonic. Celle-ci portait sur une application Pac-Man proposée sur les téléviseurs Samsung et mise en avant dans la sélection « Editor’s Choice » du constructeur. Le code de proxy ne s’activait qu’après l’accord de l’utilisateur, mais pouvait ensuite fonctionner en arrière-plan jusqu’à la suppression de l’application.
Samsung et LG rejoignent ainsi Amazon et Roku, qui avaient déjà fermé leurs plateformes à ce type de logiciel. Pour les utilisateurs, aucune manipulation n'est à prévoir : les constructeurs doivent retirer ou faire corriger directement les applications concernées. L’opération pourrait toutefois prendre du temps. Elle ne règle pas non plus entièrement la question du contrôle exercé sur les composants tiers intégrés aux applications de Smart TV.
