Akıllı TV'ler kapalıyken bile dinliyor: Uzmanlardan korunma önerileri

Gamers Nexus ve bağımsız siber güvenlik araştırmacıları, webOS işletim sistemli LG akıllı televizyonların (G5 serisi dahil OLED modellerinin) kapalı olduğu sırada dahili mikrofondan ses kaydettiğini ve ev ağındaki cihazları taradığını belirledi. Toplanan verilerin, LG Ad Solutions'a aktarıldığı öne sürüldü.

İnternet bağlantısı kesildiğinde bile verileri belleğinde saklayan bu sistem, akıllı ev cihazlarındaki veri mahremiyeti tartışmalarını yeniden gündeme getirdi. Siber Güvenlik Uzmanı Osman Demircan, sürecin teknik detaylarından hukuki boyutlarına kadar kritik değerlendirmelerde bulundu. Demircan, televizyonun kumandadan kapatılmasının elektriksel olarak tamamen kapatılması anlamına gelmediğini vurguladı.

Modern akıllı televizyonlarda ekran ve ana işlemcinin uykuya geçse de düşük güç tüketimli bileşenlerin çalışmaya devam ettiğini belirtti. "Cihazların uykuda kalma nedeni kumandadan açılmayı, telefondan televizyona bağlanmayı veya 'Hi TV' gibi bir sesli komutu beklemektir.

Sesli komut özelliği bulunan cihazlarda mikrofonun önünde genellikle düşük güç tüketen bir ses işlemcisi veya DSP bulunur. Bu işlemci sürekli olarak ses akışını değerlendirebilir ve belirli bir uyandırma kelimesini arayabilir. Uyandırma kelimesi algılandığında daha büyük işlemciyi veya bulut tabanlı ses tanıma sistemini devreye sokar," dedi.

Demircan, ağ taramasının televizyonun ev ağına bağlı bir bilgisayar gibi çalışması sayesinde gerçekleştiğini belirtti. Cihazın yerel ağda keşif protokollerini kullanarak ağdaki telefonları, bilgisayarları, medya sunucularını ve IoT cihazlarını tespit edebildiğini aktardı. Wi-Fi adaptörünün çevredeki ağların SSID ve sinyal seviyelerini algılamasının ekran paylaşımı veya akıllı ev entegrasyonu için standart bir işlem olduğunu ifade eden Osman Demircan, asıl sorunun bu verilerin hangi kapsamda toplandığı, ne kadar saklandığı ve nerelere aktarıldığı konusunda dikkat çekti.

Kullanıcıların marka ve modele göre sesli komut, eller serbest kullanım, hızlı başlatma, otomatik cihaz keşfi, ACR (Otomatik İçerik Tanıma) ve kişiselleştirilmiş reklam gibi seçenekleri menüden kapatabileceğini belirtirken, Demircan bu ayarların veri iletişimini tamamen kesmeyeceği konusunda uyardı.

"Bu seçeneklerin kapatılması, televizyonun bütün veri iletişiminin sona erdiği anlamına gelmez. Cihaz; işletim sistemi ve güvenlik güncellemelerini kontrol etmek, DNS sorguları yapmak, tarih-saat bilgisini eşitlemek, uygulama servisleriyle haberleşmek veya üreticinin farklı telemetri hizmetlerine bağlanmak için ağ trafiği oluşturmaya devam edebilir," diye ekledi.

Demircan, en kesin kontrol yönteminin televizyonun menüsüne güvenmek yerine cihazın ağ trafiğini modem veya güvenlik duvarı üzerinden denetlemek olduğunu belirtti. Televizyonun internete hangi alan adlarına bağlandığını takip etmek, gerekirse Wi-Fi şifresini silerek internet erişimini ağ seviyesinde tamamen kesmek gerektiğini vurguladı.

Bir cihazın ortam sesi kaydetmesi ile hukuka aykırı veri işlemesi arasındaki ince çizgiye dikkat çeken Osman Demircan, ses verisinin kişisel veri niteliğinde olduğunu, IP adresleri ve ağ profillerinin de belirli bir kişi veya hane ile ilişkilendirilebildiği ölçüde kişisel veriye dönüştüğünü ifade etti.

Sesin biyometrik veri sayılması için kişiyi benzersiz biçimde tanımlama amacıyla özel işleme tabi tutulması gerektiğine de dikkat çekti. KVKK’nın 4. maddesinde yer alan "hukuka ve dürüstlük kurallarına uygunluk", "belirli, açık ve meşru amaçlar için işlenme", "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerini hatırlatan Demircan, durumu şu başlıklara ayırdı: - İşleme Süreci / Teknik Zorunluluk: Cihaz yalnızca sesli asistana cevap vermek amacıyla uyandırma kelimesini yerel olarak analiz ediyorsa bu teknik bir zorunluluktur.

Ancak ortam konuşmalarını saklayıp reklam profili oluşturmak üzere sunuculara gönderiyorsa, bu durum aydınlatma yükümlülüğü, hukuki işleme şartı ve veri minimizasyonu açısından ciddi ihlaller doğurur. - Avrupa Birliği (GDPR) Yaklaşımı: Avrupa Veri Koruma Kurulu akıllı TV'leri ve sesli asistanları "terminal equipment" (uç cihaz) kapsamında değerlendiriyor.

Cihazda bilgi saklanması veya bilgiye erişilmesinde e-Privacy kuralları devreye girerken, kişisel verilerin işlenmesi için GDPR kapsamında geçerli bir hukuki dayanak aranıyor. Kullanıcıların Yasal Hakları: Türkiye'de kullanıcılar KVKK kapsamında veri sorumlusuna başvurarak kendileriyle ilgili veri tutulup tutulmadığını, işleme amacını ve aktarıldığı kişileri öğrenebilir; verilerin düzeltilmesini veya silinmesini talep edebilir.

Veri sorumlusunun 30 gün içinde cevap vermemesi veya olumsuz yanıt vermesi durumunda KVKK Kurulu’na şikâyette bulunulabilir ve hukuka aykırı işleme nedeniyle oluşan zararlar için tazminat davası açılabilir. Televizyon ve benzeri IoT cihazların gizlice veri toplamasını önlemek için cihazın kendisine güvenmek yerine ev internet ağını korumanın en etkili yöntem olduğunu savunan Demircan, teknik tedbirleri sıraladı.

1- Ağ Segmentasyonu (IoT Ağı Kurma): Akıllı cihazları, bilgisayar ve telefonların bulunduğu ana ağdan ayırın. Modemin sunduğu Misafir (Guest) Network, IoT Network veya ileri seviye modemlerdeki VLAN özelliklerini kullanarak ağı bağımsız parçalara bölün. 2- İstemci İzolasyonu (Client Isolation): IoT ağında istemci izolasyonunu aktif edin.

Böylece aynı ağa bağlı iki akıllı cihazın veya bir IP kameranın ağdaki diğer cihazları ve dizüstü bilgisayarları görmesi engellenmiş olur. 3- Güvenlik Duvarı Sınırlaması: Yalnızca harici medya oynatıcı için bir ekran olarak kullanılan akıllı televizyonların internete erişmesine hiç ihtiyaç yoktur. Güvenlik duvarı üzerinden televizyonun internet çıkışını tamamen kapatın.

4- Trafik Analizi ve Modem Güvenliği: Modemin uzaktan yönetimini internete kapatın ve varsayılan fabrika şifrelerini değiştirin. Modem üzerindeki trafik istatistiklerini düzenli kontrol ederek, bekleme modundaki bir cihazın geceleri megabaytlarca veri gönderip göndermediğini inceleyin.

5- Yazılım Güncellemeleri: Cihazın internet erişimini kesmeden önce mevcut güvenlik güncellemelerini tamamlayın. Yıllarca güncellenmeyen cihazların mahremiyet riski azalsa da siber saldırı riskinin artacağını unutmayın.

Televizyonun internet bağlantısını kesip Apple TV veya Chromecast gibi harici bir medya oynatıcı kullanmanın mimari olarak mantıklı bir güvenlik önlemi olduğunu belirten Demircan, bunun yüzde 100 anonimlik sağlamayacağı konusunda uyardı. "TV internete bağlı değilse, üreticinin sunucusuna telemetri veya ACR verisi göndermesi engellenmiş olur ve uzaktan erişim açığı riski küçülür.

Ancak veri toplama riski tamamen ortadan kalkmaz; risk bu kez harici cihaz ve kullanılan uygulamalara (Netflix, YouTube vb.) taşınır. Bu platformlar ne izlediğinizi bilir ve cihaz üreticisi de telemetri toplayabilir," dedi.

Sonuç olarak, "güvenmediğimiz ve ihtiyacımız olmayan cihazların internet erişimini kesmemiz gerekiyor" diyen Osman Demircan; akıllı televizyonu internetsiz bırakmanın, harici oynatıcıyı güncel tutmanın, reklam kişiselleştirmelerini kapatmanın ve harici cihazı ayrı bir IoT ağına yerleştirmenin en sağlıklı senaryo olduğunu belirtti.

Demircan, bugünün akıllı televizyonlarının sadece bir ekran değil; mikrofonu, Wi-Fi'si ve işlemcisi olan tam teşekküllü bir bilgisayar gibi ele alınması gerektiğini ifade ederek sözlerini tamamladı.