LG, 스마트 TV 앱의 주거용 프록시 기능 금지

 (krebsonsecurity.com)
1P by GN⁺ | ★ favorite | 댓글 2개
  • LG Electronics USA는 TV를 상시 주거용 프록시 노드로 만드는 기능을 webOS 앱에서 제거하고, 따르지 않는 앱은 스토어에서 정지할 계획임
  • Spur 조사 결과 LG 스마트 TV 앱의 42% 이상, Samsung Tizen 앱의 25% 이상이 제3자의 인터넷 트래픽을 사용자 TV로 전달하는 프록시 SDK를 포함함
  • 앱 개발자는 프록시 업체의 SDK를 탑재해 수익을 얻으며, 이 구성요소는 Pac-Man 같은 게임부터 화면 보호기와 파일 유틸리티까지 폭넓게 포함돼 있음
  • 최대 공급자인 Bright Data는 명시적 동의와 고객 검증, 로컬 네트워크 접근 방지책을 운영하지만, Spur는 일회성 동의만으로 지속적인 통제와 플랫폼 감독을 대신할 수 없다고 봄
  • LG는 앱 심사 강화에 나섰지만, 일부 LG LCD 모니터가 승인 없이 Windows Update를 통해 유료 McAfee 제품 홍보 앱을 설치하는 별도 사례도 확인됨

LG의 프록시 앱 정리 계획

  • LG Electronics USA는 스마트 TV를 상시 주거용 프록시 노드로 전환하는 앱을 정지할 계획임
  • LG 수석부사장 John Taylor는 webOS 앱 개발자들과 프록시 기능 제거를 진행 중이며, 이를 제거하지 않는 앱은 정지된다고 밝힘
  • 앱 검토는 이미 시작됐으며, 앞으로 주거용 프록시 네트워크가 스마트 TV 앱에 포함되지 않도록 관리할 방침임
  • 개발자 제출 앱의 평가 절차를 강화하고 주거용 프록시 SDK 포함 여부도 심사 대상에 넣을 예정임

스마트 TV 앱에 퍼진 프록시 SDK

  • 보안업체 Spur의 조사에 따르면 LG 스마트 TV 앱의 42% 이상이 TV를 무기한 프록시 노드로 만드는 SDK를 포함함
  • Samsung Tizen 운영체제용 앱에서도 25% 이상이 유사한 주거용 프록시 구성요소를 탑재함
  • 프록시 업체는 앱 개발자에게 SDK 탑재 대가를 지급하고, 확보한 사용자 기기를 유료 고객에게 빌려주는 수익화 구조를 운영함
  • SDK는 Pac-Man 같은 단순 게임뿐 아니라 화면 보호기와 파일 유틸리티에도 들어 있음

Bright Data의 운영 방식과 해명

  • Spur 조사에서 Bright Data는 LG와 Samsung 스마트 TV 양쪽에서 발견된 프록시 SDK의 과반을 차지함
  • Bright Data는 자사 네트워크가 동의와 책임을 기반으로 하며 LG와 Samsung의 조건에 맞게 운영된다고 밝힘
    • 각 참여자는 별도 화면에서 동의하고 그 대가를 받음
    • 모든 고객을 검증하며 PwC의 두 번째 독립 감사를 마침
    • 합법적인 기업·연구자·기관이 공개 영역의 데이터에 책임 있게 접근하도록 지원한다는 입장임
  • Bright Data를 비롯한 프록시 업체들은 고객알기제도(KYC)로 합법적인 이용 목적을 검증하며, 고객 활동은 주로 콘텐츠 스크래핑과 연결돼 있음
  • 프록시 고객이 사용자의 로컬 네트워크에 있는 다른 기기와 상호작용하거나 제어하지 못하도록 기술적 방지책도 적용한다고 밝힘

일회성 동의와 플랫폼 감독의 한계

  • Spur가 문제 삼은 지점은 주거용 프록시 네트워크 자체보다, 소비자가 컴퓨터로 인식하지 않고 직접 감사하기도 어려운 기기에 프록시 기능이 대규모로 내장되는 상황임
  • TV 앱 안에 묻힌 일회성 동의 화면만으로는 의미 있는 투명성이나 지속적인 통제, 플랫폼 차원의 감독을 대신하기 어려움
  • 미성년자처럼 가정 내 기기를 사용할 수는 있지만 동의를 제공해서는 안 되는 사람이 승인할 경우 위험이 더 커짐

LG 모니터의 McAfee 홍보 앱 자동 설치

  • LG는 스마트 TV 프록시 SDK와 별개로, 고급 LCD 모니터의 소프트웨어 드라이버를 통해 McAfee 보안 제품을 홍보한 일로도 비판받음
  • YouTube 채널 Gamers Nexus는 일부 LG LCD 모니터가 유료 McAfee 백신 구독을 홍보하는 앱을 자동 설치하는 과정을 확인함
  • 해당 앱은 별도의 사용자 승인 화면 없이 Windows Update를 통해 설치됨

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 새 LG TV는 초기 설정부터 LG 계정 생성을 요구하며, 국가 설정 순서를 잘못 잡으면 이메일에 “incorrect country” 오류가 걸려 웹에서도 로그인할 수 없게 됨
    해결하려면 TV 국가 코드를 원래 값인 US_Other로 되돌려 계정을 삭제하고, 다시 US로 바꾼 뒤 계정을 새로 만들어야 함. TV가 고장 나거나 원래 국가 코드를 잊으면 이후 LG 제품에서 다른 이메일을 써야 할 수도 있음
    함께 산 LG 사운드바도 광출력, LG 확장 광출력, HDMI eARC 모두 시간이 지나면 음성 동기화가 어긋남. PCM 광출력은 상대적으로 낫지만 음량 제어를 포기해야 하며, 고객이 이런 세부 사항까지 알아야 하는 것 자체가 잘못임. 리모컨도 Roku보다 형편없어 LG를 신뢰하기 어려움

    • 5년 된 LG OLED를 새 모델로 교체했는데, 간단한 UI 요소조차 뜨는 데 몇 초씩 걸릴 만큼 사용자 경험이 퇴보했음
      끄지 않으면 시청 중 무작위로 끼어들어 알아듣기 힘든 금속성 음성으로 말하는 억지스러운 “AI” 기능까지 들어갔고, 리모컨 만듦새도 크게 나빠짐. 화질은 좋지만 이전 TV와 같아 발전을 느끼기 어려움
    • 팀에서 일부 소프트웨어를 개발해 업무용 LG TV를 썼는데, Google식으로 우선순위에서 밀리고 중단된 뒤 팀까지 해고되면서 LG에 유지보수 종료조차 알리지 않은 채 방치됐음
      결국 Netflix와 Disney+만 실행해도 스마트 TV로는 거의 못 쓸 수준이 됐고, 아이가 플라스틱 칼로 화면을 깨뜨림. LG 세탁기·건조기·오븐은 좋아하지만 TV는 내 돈으로 사지 않을 것이며, 컴퓨터를 HDMI로 연결하는 단순한 화면이면 충분함
    • EULA대로라면 TV가 주변 대화를 모두 녹음하므로, 도청 관련 법률을 위반하지 않으려면 집에 오는 모든 손님에게 이를 알려야 함
    • 2026년에도 광출력이 문제가 되는 이유를 모르겠음. 2014년 Samsung 플라스마 TV를 2002년경 Yamaha 리시버에 광출력으로 연결해도 동기화 밀림이 전혀 없고, 다른 TV의 사운드바보다 훨씬 훌륭한 소리가 남
    • 인터넷에 연결하지 않고 계정을 만들지 않아도 작동하는지 궁금함

  • 미국 가정용 프록시는 소셜 미디어 조작과 스팸의 주요 원천이며 인터넷에 큰 해를 끼침
    서비스가 국가·조직·호스팅 유형별 IP 대역을 막으면 악용을 크게 줄일 수 있지만, 미국 가정용 IP는 실제 고객까지 차단하게 되어 막기 어려움. 미국 정부와 NSA는 이를 국가안보 위협으로 보고 강하게 단속해야 하며, Comcast와 AT&T 같은 ISP도 의심스러운 트래픽을 감지해 고객에게 PC와 TV 앱을 점검하도록 알려야 함. 프록시는 속도를 낮추고 고객 IP까지 차단 목록에 올리기 때문임

    • 오히려 IP 대역 차단이 인터넷의 골칫거리이며, 가정용 프록시로 이를 우회할 수 있어 다행임
      누가 정보에 접근할지 기업이 마음대로 결정하지 못하게 해 주며, 가장 비윤리적인 부분은 사용자가 프록시 설치에 동의하지 않은 경우임. 이는 해결할 수 있고, 돈을 받고 자발적으로 설치하는 사람도 있음
    • 기업이 위험을 판단할 수 있도록 이런 정보를 위협 인텔리전스 형태로 잘 제공하는 회사들이 이미 존재함
    • 기업이 실제 고객 차단을 신경 쓴다는 전제부터 의문임. San Francisco에 본사를 둔 유명 회사의 CAPTCHA를 통과할 유일한 방법이라 거의 6개월째 일상적인 웹 탐색에도 가정용 프록시 비용을 내고 있음
    • ISP가 이를 탐지할 유인이 있는지 의문임. 고객은 모르는 사이 추가 데이터 사용료까지 낼 수 있으므로, ISP가 막으면 오히려 수익이 줄어들 수 있음
    • 내가 받는 스팸 트래픽의 주된 출처는 중국과 인도의 가정용·모바일 IP 대역임
      과거 ISP가 파일 공유 트래픽을 단속하자 모두가 반발했는데, 이번 목적에는 시민 감시가 괜찮다고 하는 것은 일관되지 않음. ISP의 악용 신고함도 “보안” 장사꾼이 LLM으로 만든 신고를 쏟아내 자동화된 지 오래임
      수많은 IoS(Internet of Shit) 기기가 보급되면서 PC에 우연히 스파이웨어를 설치하는 차원을 넘어, 사람들이 의도적으로 집 안에 감시 기기를 들이고 있음. FCC가 라우터부터 단속하려 하지만 이 역시 반발을 받아 해결하기 어려움

  • LG 플랫폼 앱의 42% 에 이런 준악성 SDK가 들어갔다면 과실이든 무능이든 심각함. 앱 스토어를 악성코드 유통망으로 방치한 기업에는 법적 책임이 따라야 하지 않나 싶음

    • “준악성”이 아니라 명백한 악성코드임
    • 사용자가 앱 설치 약관에 동의했으니 형식상 합법으로 처리됨. 정부가 법을 만들고 집행하지 않는 한 바뀌지 않을 것임
    • 나는 네트워크에서 완전히 격리한 LG TV를 보유하고 있는데, 실제로 집단소송이나 대규모 중재를 추진할 사람이 있는지 궁금함
    • LG 자체 코드부터 준악성 소프트웨어에 가까움
    • 앱 스토어를 통제하고 선별할 때 생기는 소란을 이미 봤기 때문일 수 있음. https://news.ycombinator.com/item?id=45017028의 댓글이 한 예임

  • LG TV를 어떤 네트워크에도 연결하지 않는 편이 나음

    • LG 자체를 연결하지 말아야 할 수도 있음: https://www.theverge.com/tech/967983/lg-monitors-mcafee-adwa...
    • 홈시어터 중심으로 쓰는 LG C4에는 대체로 만족했고 YouTube와 Jellyfin 때문에 인터넷에도 연결했지만, 최신 4K 리핑 파일인 HEVC+DTS 지원 부족이 결정적 문제였음
      결국 내장 소프트웨어 대신 Fire Stick을 사용하니 트랜스코딩이나 이상한 코덱 문제 없이, 성능이 낮은 Unraid 장비의 원본 파일을 AVR로 직접 전송해 음성과 영상을 올바르게 처리할 수 있게 됨
    • 이미 13년 전에도 같은 문제가 있었음: https://news.ycombinator.com/item?id=6759426
    • Netflix, Disney+, Hulu를 보려면 무언가는 네트워크에 연결해야 하고, 외부 장치도 비슷한 위험이 있음. 격리된 VPC를 구축하거나 트래픽을 감사하는 일은 일반 TV 사용자가 하기 어려움
    • LG TV에 인터넷 접근을 허용한 적이 없어 문제가 없었고, 신뢰할 수 있는 셋톱박스가 모든 기능을 담당함. 앞으로 이런 선택지가 사라질까 걱정됨

  • 이미 설치된 앱 복사본이 어떻게 처리되는지가 불분명함
    Spur에 따르면 이 SDK는 앱을 닫은 뒤에도 실행되며, 앱을 삭제하거나 사용자가 거부해야만 멈춤. LG는 개발자가 SDK를 제거하지 않으면 앱을 정지하겠다고 하지만 기존 설치본까지 비활성화되는지는 기사에 없음. 아니라면 영향받은 사용자에게 삭제할 앱을 알려야 하며, webOS가 설치 앱을 원격 종료할 수 있는지도 궁금함

  • 오랫동안 유지해 온 단순 TV가 곧 수명을 다할 듯해 걱정됨. 스마트 TV용 개인정보 보호 안내 중 최신 정보를 제공하는 곳을 찾고 있음
    이제 55인치 모니터와 디지털 사이니지 제품 대부분도 “스마트” 기능을 넣어, 50인치가 넘는 진짜 단순 패널을 구하기 어려움. 호주 거주자라 다른 지역에서만 판매하거나 배송되지 않는 제품은 선택할 수 없음

    • 스마트 TV에 네트워크 인증 정보를 주지 않으면 공격 표면의 99% 를 차단할 수 있음
    • TV는 네트워크에 연결하지 않고 Fire Stick, Apple TV, Google Streamer 같은 외부 장치로 스마트 기능을 쓰면 됨. 완성도를 조금 포기하면 오픈소스 선택지도 있음
      지금까지 스마트 TV 소프트웨어 업데이트로 유용한 기능이 추가된 적은 한 번도 없었음
    • 원하는 것은 튜너가 달린 화면뿐이며, 앱이 필요하면 Apple TV 같은 외부 장치를 연결하면 됨. 모니터와 사운드바, 외장 튜너 조합이 가능한지 알아보고 있음
    • 어떤 스마트 TV든 단순 모드로 쉽게 전환할 수 있음

  • Android 기반이 아닌 다른 TV 제조사들까지 동참한다면, 스크래핑 확산과 비용에 미치는 영향이 Anubis나 Cloudflare보다 훨씬 커질 수 있음

  • 이번 주 다른 LG 관련 보도에서 시선을 돌리려는 전술인지 의심스러움. 거의 모든 APK가 Google Play 약관을 적용받으므로 스마트 TV 앱의 가정용 프록시는 이미 금지된 줄 알았음

    • 여기서 다루는 플랫폼은 webOS와 Tizen이며, 둘 다 Android도 아니고 Google Play Store도 사용하지 않음
    • 해당 규정은 Google TV나 Android TV를 쓰는 일부 TV에만 적용됨. Roku TV OS, Tizen, webOS, Fire TV OS 같은 나머지 운영체제는 각자 정책을 운영함
    • LG webOS는 Android가 아니라 2010년대 초 Palm·HP 기기에서 이어진 운영체제임. Google Play 앱에도 고지나 동의 여부와 무관하게 이런 프록시 SDK가 여전히 많이 들어 있을 가능성이 큼

  • 사용자가 자신의 TV가 이런 식으로 이용되는지 어떻게 알 수 있는지 궁금함. 그래서 기기에 정체불명의 앱을 함부로 내려받아서는 안 됨
    가족의 편의 때문에 LG TV를 별도 네트워크에 연결하고 Netflix와 Prime 등 최소한의 앱만 설치했음. 홈 화면에 광고가 없는 제품이라 다른 스마트 TV보다 덜 나쁜 선택이라고 생각했지만 결국 모두 비슷하게 나쁨

    • LG TV에 광고가 안 뜨는 것은 Pi-hole을 강제로 거치게 했기 때문임. 최근에는 일부 광고가 다시 통과해 무엇을 차단해야 할지 재조사해야 하지만, 광고를 볼 때마다 작업할 기분이 아니라 미루고 잊게 됨

  • 내 TV는 라우터의 Wi-Fi 비밀번호를 모름

    • 내 TV는 지금이 1970년 1월 1일이라고 알고 있음
    • 무작위 TV 제조사보다 Sony와 Microsoft가 PS5와 Xbox 운영체제를 안전하게 유지하고 이런 쓰레기를 넣지 않을 것이라는 신뢰가 훨씬 큼
      PlayStation과 Xbox에도 광고와 원격 측정은 있지만, 운영체제가 뚫리면 게임 불법 복제와 DRM 우회로 수익 모델이 직접 위협받으므로 두 회사에는 보안을 유지할 핵심 동기가 있음
    • 주변에 개방형 Wi-Fi가 없기를 바라야 함. 차라리 자체 네트워크에 연결한 뒤 인터넷과 다른 장치로부터 격리하는 편이 안전함
    • Roku 같은 장치가 연결돼 있으면 TV가 HDMI 케이블을 통해 인터넷에 접근할 수도 있다고 봄
답변달기
GN⁺   [-]
Lobste.rs 의견들
  • 드물게 보는 좋은 소식임. LG 내부에서 실제로 문제를 심각하게 받아들여 조치를 끌어낸 사람들이 있어 다행이지만, 프록시가 배포된 비율 42% 는 예상했던 최악의 수치마저 훨씬 뛰어넘어 섬뜩함
    • LG가 악성 여론 외에 신경 쓰는 게 있는지는 의문임. 그래도 이를 악성 여론으로 인식하기는 했다는 점은 다행이며, 처음 보도됐을 때만 해도 LG가 문제라는 사실조차 이해할지 확신할 수 없었음
      최근 장인어른이 LG TV를 사서 설치했는데, 아무리 인터넷 연결을 요구해도 절대 연결하지 말라고 조언했음
    • 꽤 아이러니함. LG가 업데이트 중 앱(McAfee)을 끼워 넣는 문제를 다룬 Gamers Nexus 영상도 있음
      작성 후 https://lobste.rs/c/9owhpv 도 발견함
  • 이런 행위가 전에는 명시적으로 금지되지 않았다는 뜻인가? 대체 뭘 하고 있던 건지 모르겠음
    • 누군가 연말까지 앱스토어에 앱 X개를 확보한다는 성과 목표를 받았고, 수단과 방법을 가리지 않고 달성한 듯함
    • 모든 앱 개발자가 제3자에게 사용자의 인터넷 연결을 제공하는 방식으로 앱을 수익화해도 괜찮다고 판단했다는 사실이 암울함
  • 기기에 앱을 쉽게 설치하도록 플랫폼 통합 경로를 제공하면, 결국 사실상 악성코드를 배포하는 데 악용된다는 교훈을 계속 잊고 있음. 모바일 앱, 브라우저 확장 프로그램, 기업용 앱스토어, VS Code 등에서 이미 반복됐음
    OAuth 방식의 권한 요청도 마찬가지여서, 공격자가 사용자의 이메일 접근 권한을 정중하게 요청할 수 있게 해주면 실제로 그렇게 함
    형식적인 위협 모델링을 크게 신뢰하지 않더라도 이런 기능을 설계할 때는 “어떻게 악용될까?”를 반드시 따져야 함. 악용하면 실제 돈이 되므로 반드시 벌어지며, LG의 조치는 환영하지만 이미 말이 도망간 뒤 외양간 문을 닫는 격임
  • 기사 대부분은 놀랍지 않았지만, 마지막 부분을 보면 LG가 자사 TV에서 크랩웨어 독점 공급자가 되려는 게 아닌가 싶음
    1,200달러짜리 모니터가 Windows Update를 이용해 연결된 Windows PC에 애드웨어를 설치하며, 이용약관도 온갖 스파이웨어식 조항으로 가득함. 이것만으로도 별도 기사가 나올 만함
    Krebs가 인용한 1차 출처라 YouTube 링크를 사용했으며, 읽기를 선호하는 사람을 위한 자막도 있지만 YouTube 인터페이스가 형편없어 외부에서 읽기 좋은 형태로 복사할 수 없었음
  • 새 TV를 살 예정인데, LG가 지금까지 이를 허용했다는 사실은 이미 LG 제품을 피하기로 한 이유를 잘 보여줌
    하지만 보안과 개인정보 보호를 기준으로 제품을 고르려면 이를 충족하는 경쟁사가 있어야 하는데, 현재는 거의 없음. Apple TV 외에 개인정보 보호와 보안을 중시하는 제품이 있다면 알고 싶음
    • Ugoos 같은 기기를 사서 CoreELEC과 Kodi를 설치하면 됨. LG TV와 Apple TV는 경쟁 제품이 아니며, 하나는 화면과 형편없는 내장 운영체제이고 다른 하나는 셋톱박스임
  • 이제 Samsung도 뒤따라야 함
답변달기