LGスマートTVアプリの約半数に住宅用プロキシSDKが含まれている

誰もがスマートフォンのアプリについて心配していますが、テレビのアプリに目を向ける人はほとんどいません。私たちはLGとSamsungのスマートTVアプリ6,038個をスキャンしたところ、2,058個があなたのIPアドレスを販売していました。 画面上では、リラックスできる水槽、時計、ソリティア、あるいは子犬の映像です。しかし、内部では住宅用プロキシとして機能しています。これは、他人のインターネットトラフィックをあなたのリビングルームを通じて送信できるソフトウェアです。そして、私たちはこれを至るところで発見しました。 なぜテレビが違うのか スマートTVはほぼ理想的なプロキシホストです。他のすべてのデバイスと同じホームネットワーク上にありますが、コンピューターのように感じられないため、人々はコンピューターのように監査することはめったにありません。バッテリーの消耗に気づくこともなく、携帯電話の請求書が急増することもありませんし、疑わしいバックグラウンドアクティビティでいっぱいのアプリスイッチャーもありません。ユーザーが家具だと思っている間に、テレビは何年もの間、電源に接続され、ログインされ、オンラインであり続けることができます。 それは同意の等式も変えます。ほとんどの人は、どのデバイスを使用しているかにかかわらず、自分の住宅用IPアドレスへのアクセスを販売することが何を意味するのか、適切な精神モデルを持っていません。テレビの場合、そのギャップはさらに大きくなります。リモコンで操作する一度限りのプロンプトはセットアップの流れの中に消え去り、アプリはユーザーが何に同意したかを覚えていないずっと後も接続をマネタイズし続けます。 プロキシSDKがアプリに組み込まれる仕組み 答えはお金です。広告は注意を必要としますが、広告を挿入するとユーザーエクスペリエンスが低下します。これらのアプリは、その逆のために設計されています。時計、水槽、常に広告で邪魔されない静かな画面です。プロキシSDKを追加すると、アプリは静かな見た目を保ちながら、テレビのインターネット接続がバックグラウンドでお金を稼ぎ続けることができます。 各SDKが同意と見なすもの 以下は、これらの企業がプロキシSDKに対する同意と見なしているものです。彼らは一度尋ね、それ以降は二度と尋ねません。 重要なのはバックグラウンド条項です。3つのプロンプトすべてが、アプリが閉じられた後もプロキシが実行され続けることができると述べています。アプリは終了しますが、プロキシは終了しません。 一部のアプリでは、このトレードオフがさらに明確になっています。Tizenのパックマンは、Bright Dataを広告なしのオプションとして提示しています。拒否すれば広告付きゲームを継続し、同意すればアプリはテレビの接続をウェブインデックス作成のために使用できます。これは、広告を見るか、プロキシネットワークの一部になるかという、明確なマネタイズの分岐点です。 これらのアプリを作成しているのは誰か？ これは、プロキシ企業が無作為なアプリ開発者を説得してマネタイズSDKを埋め込ませるだけの話ではありません。多くの場合、プロキシ企業、またはその名前を冠する何かが、パブリッシャーでもあるようです。 データセットにおいて、Bright Data、Bright Data Ltd、およびBright SDKは367個のプロキシフラグ付きアプリを占めています。Honeygain UAB（Oxylabsの子会社）はさらに16個のアプリのパブリッシャーとして表示されています。 それは問題の形を変えます。これらの中には、たまたまプロキシSDKが組み込まれている通常のアプリではなく、ファーストパーティのプロキシインベントリのように見えるものもあります。SDKが実行される場所を確保するために、大量に配布される薄っぺらいショベルウェアゲーム、スクリーンセーバー、ユーティリティシェルなどです。アプリはラッパーであり、住宅用IPが製品なのです。 プラットフォームのギャップ 他のTVプラットフォームはすでに一線を画しています。Amazonは、そのデバイスおよびシステム濫用ポリシーにおいて、第三者向けのプロキシサービスを容易にするアプリを禁止していると明示しています。Rokuも同様に門戸を閉ざしたと報じられています。The VergeでシンジケートされたLowpassは、RokuがBright SDKや類似のプロキシサービスの使用を開発者に禁じていること、そして同社に連絡があった後、SDKを使用するRokuアプリが消滅したと報じました。 LGとSamsungは、同等の公的な一線を画していません。それがこれらのアプリが存在するギャップです。Amazonが禁止し、Rokuがブロックしたと報じられている同じビジネスモデルが、webOSとTizen上で大規模に現れ続けています。 なぜこれが危険なのか TVアプリがプロキシとして機能するようになると、リスクはあなたのパブリックIPアドレスが借りられることに限定されません。アプリはあなたのホームネットワーク内で実行されています。プロキシプロバイダーがプライベートまたはローカルアドレスへの要求を許可することを決定した場合、またはフィルタリングが失敗した場合、そのTVは、ルーターの管理パネル、NASデバイス、プリンター、カメラ、開発者マシン、およびローカルポートでリッスンしている他のアプリなど、インターネットに公開されることを意図していなかったものに到達するための足がかりとなります。 これは理論上の話ではありません。2026年1月、KrebsOnSecurityは、住宅用プロキシネットワークを悪用してプロキシエンドポイントの背後にあるローカルネットワークにトンネルを張るボットネット「Kimwolf」について報じました。このレポートは、攻撃者がプロキシアクセスをパブリックWebトラフィックのためだけでなく、プロキシノードと同じLAN上のデバイスに到達し、そこからさらに拡散するために使用したと説明しています。 SDKは、その境界を可視化します。Bright Dataのサンプルには、明示的なプライベート/ローカルブロックリストが付属しています。`127.0.0.0/8`、`10.0.0.0/8`、`172.16.0.0/12`、`169.254.0.0/16`、`192.168.0.0/16`、そして`255.255.255.255`です。これは良いことですが、同時に、TVが接続を確立できること、そして境界がSDKのポリシーコードであることを証明しています。 Massiveのサンプルでは、プロキシセッションがサーバーから提供された`host:port`値を解析し、それに対して`net.Socket`を開きます。Honeygain/Oxylabsのサンプルでは、`messageType: "connect"`を含むサーバーメッセージが`address.host`と`address.port`を提供し、その後のチャンクメッセージがその接続にバイトを書き込みます。ローカルのMassiveおよびHoneygain/Oxylabsのサンプルでは、同等のプライベートレンジブロックリストは見つかりませんでした。 これにより、プロバイダーのポリシーと強制が真の境界となります。境界は技術的なものではなく、プロキシ企業の顧客審査、トラフィックフィルター、内部ルール、そしてLGやSamsungが適用することを選択するプラットフォームレビューによって強制されます。プロキシプロバイダーはトラフィックが承認されたパブリックウェブユースケースに限定されていると主張できますが、デバイスの所有者にはテレビからそれを検証する実際的な方法はありません。その境界が変更されたり、破られたり、悪用されたりした場合、「ウェブインデックス作成」として提示された同じSDKが、サイバー犯罪者にとってあなたのホームネットワークへの個人的なVPN接続となる可能性があります。 方法論 私たちはストアの説明や許可プロンプトに頼りませんでした。実際のLG webOSおよびSamsung Tizenアプリパッケージをダウンロードし、解凍し、内部のファイルをスキャンしました。 フィンガープリントは、確認済みのSDKアーティファクトを検索しました。Bright Dataの`brd_api.js`および`brd_sdk`サービス、Massiveのクライアントおよび`.massivesdk`サービス、Honeygain/OxylabsのSDKファイルおよびサービス名、および関連するトークンまたはパッケージ名です。そこでカウントされたすべてのアプリには、確認済みのプロキシSDKフィンガープリントがありました。 プロキシベンダーの回答 公開に先立ち、Spur Intelligence Labsはその調査結果をBright Data、Massive、およびOxylabsと共有し、各社にコメントを求めました。3社すべてが回答しました。彼らの回答は以下に要約されています。 Bright Data 「同意は、正当なネットワークを不正なネットワークから区別し、透明でコンプライアンスに準拠した調達、審査、ガバナンス、説明責任を概説するテスト済みフレームワーク全体で証明可能です。Bright Dataは、意図的に発見可能であり、したがって説明責任を負う同意されたネットワークのためにこのフレームワークを構築しました。私たちの慣行は独立した監査人やセキュリティ企業によって厳しく調査されています。使用は、正当で検証済みのビジネス、研究、ジャーナリズムの目的のみに承認されています。私たちの意図は、私たちのネットワーク、お客様、そしてインターネット全体を保護することです。業界全体にこれに続くことを奨励します。」 Massive 「私たちは消費者側のプライバシーとセキュリティを重視していることを誇りに思っています。デバイスの所有者がこれを検証する実際的な方法がないのは事実ですが、それは部分的には設計によるものです。エンドポイントは、ユーザー自身の安心のために、最小限のインパクトと最小限のインターフェースを持つように意図されています。以前は、ユーザーが追加のリソース利用を可能にするスライディングコントロールを含めていましたが、実際にはこれらが実質的に自己負担型のサービス拒否を引き起こし、ユーザーはそれを製品のせいにしました。そのため、ユーザーの安全性と安定性のために、参加は現在、単純な有効/無効の選択となっています。私たちのネットワークのユーザーは、正当なビジネス目的を持っていることを検証するために、本人確認（KYC）プロセスを経ます。技術的制御は主にサーバー側で行われます。私たちは中間者攻撃によるトラフィックの復号や監視は行いません。それはそれ自身のセキュリティと責任の問題を引き起こすからです。」 Oxylabs Oxylabsは、i