Samsung’un 2025 model akıllı televizyonunu inceleyen bir güvenlik araştırmacısı, cihazın arka planında çalışan veri toplama ve kullanıcı takibi sistemleri hakkında dikkat çekici iddialar ortaya attı.
Televizyonun işletim sisteminde yönetici erişimi elde ettiğini belirten araştırmacı, sürekli açık mikrofon işlevinden hedefli reklam altyapısına kadar birçok bileşen tespit ettiğini açıkladı. Paylaşılan bulgular, Samsung televizyonların kullanıcı verilerini nasıl işlediği konusunda yeni bir tartışma başlattı.
X platformunda log4j kullanıcı adıyla paylaşım yapan araştırmacı, 2025 model Samsung televizyonunda karşılaştığı reklamların kişisel ilgi alanlarıyla alışılmadık derecede örtüştüğünü fark etti.
Bunun üzerine cihazın yazılımını incelemeye başladı ancak televizyonun firmware dosyalarının AES şifrelemesiyle korunduğunu gördü. Şifreleme anahtarlarına ulaşmak için cihazı fiziksel olarak açması ve UART veya JTAG bağlantıları üzerinden donanımsal inceleme yapması gerekiyordu.
Araştırmacı, donanımsal müdahale yerine yazılımdaki güvenlik açıklarından yararlanarak televizyonun işletim sistemine eriştiğini öne sürdü. Sıfırıncı gün (zero-day) açıkları kullandığını belirten araştırmacı, cihazda root yetkilerine sahip bir komut satırı elde ettiğini açıkladı. Bu erişim normal kullanıcıların ulaşamadığı sistem dosyalarının ve arka planda çalışan hizmetlerin incelenmesine olanak tanıyor.
Paylaşılan ekran görüntülerinde Samsung’un Tizen işletim sistemine ait dosya yapısı, depolama bölümleri ve çeşitli sistem dizinleri görülüyor. Araştırmacı ayrıca cihazdaki yazılım paketlerini listelediği başka bir ekran görüntüsü yayımladı. Ancak kullanılan güvenlik açıklarının teknik ayrıntıları, etkilenen televizyonun tam model numarası ve yazılım sürümü henüz paylaşılmadı.
İncelemedeki en dikkat çekici iddia, televizyonun sürekli açık mikrofon işleviyle ilgili oldu. Araştırmacının paylaştığı yazılım paketi listesinde csapi-tv-service-alwaysonvoice adlı bir bileşen bulunuyor. Araştırmacı bu bileşeni sürekli açık mikrofon işleviyle ilişkilendirirken, televizyonun kullanıcıları dinleyebildiğini ileri sürdü.
Bununla birlikte söz konusu paketin sistemde bulunması, ortam konuşmalarının sürekli kaydedildiğini veya Samsung sunucularına gönderildiğini tek başına kanıtlamıyor.
Akıllı televizyonlarda sesli asistanların uyandırma sözcüklerini algılamasını sağlayan dinleme işlevleri de bulunuyor. Samsung’un gizlilik açıklamalarında, sesli komutların belirli bir düğmeye basılması veya desteklenen cihazlarda Bixby gibi bir uyandırma sözcüğünün kullanılmasıyla işlenebildiği belirtiliyor.
Araştırmacının dikkat çektiği diğer bileşenler arasında otomatik içerik tanıma (ACR), coğrafi konum belirleme, ağ haritalama, hedefli reklam hizmetleri ve kullanıcı profili oluşturma sistemleri bulunuyor.
Ayrıca cihazın yazılımında dört ayrı dijital hak yönetimi (DRM) hizmeti tespit ettiğini öne sürdü. DRM sistemleri, dijital içeriklerin lisans ve erişim haklarını kontrol etmek için kullanılıyor.
Otomatik içerik tanıma teknolojisi, Samsung televizyonlarda zaten kullanılan ve şirketin gizlilik belgelerinde açıklanan bir özellik. ACR sayesinde televizyon ekranında izlenen içeriklerden dijital tanımlayıcılar oluşturulabiliyor.
Bu teknoloji, izlenen programların ve kanalların belirlenmesi, televizyon kullanım alışkanlıklarının analiz edilmesi ve kişiselleştirilmiş reklamların sunulması için kullanılabiliyor.
Samsung’un gizlilik politikası, televizyon izleme geçmişinin, cihaz kullanım bilgilerinin ve belirli tanımlayıcıların ilgi alanına dayalı reklam hizmetlerinde kullanılabildiğini açıklıyor.
Şirket, kişiselleştirilmiş reklamlarla ilişkili veriler için PSID adı verilen sıfırlanabilir bir tanımlayıcı da kullanıyor. Kullanıcılar televizyonun gizlilik ayarlarından ACR ile bağlantılı veri toplama tercihlerini değiştirebiliyor ve ilgi alanına dayalı reklamları devre dışı bırakabiliyor.
Araştırmacının iddiaları yalnızca Samsung’un kendi hizmetleriyle sınırlı değil. Paylaşımda şirketin yaklaşık 400 iş ortağını kapsayan bir veri ekosisteminden de söz ediliyor.
Ancak bu şirketlerin tam listesi, hangi kullanıcı verilerine erişebildikleri ve bilgilerin hangi koşullarda paylaşıldığı konusunda doğrulanabilir teknik ayrıntılar henüz sunulmadı.
Samsung’un mevcut gizlilik belgelerinde üçüncü taraf içerik ve hizmet sağlayıcılarının IP adresi, cihaz tanımlayıcıları ve uygulama kullanım bilgileri gibi bazı verilere erişebileceği açıklanıyor. Bununla birlikte yaklaşık 400 iş ortağının tamamına mikrofon kayıtlarının veya kişisel verilerin aktarıldığına ilişkin bir kanıt bulunmuyor.
Araştırmacının ortaya attığı iddialar henüz bağımsız bir teknik incelemeyle doğrulanmadı. Özellikle mikrofon üzerinden sürekli ses kaydı yapıldığına, ortam konuşmalarının uzak sunuculara iletildiğine veya kullanıcıların izni dışında belirli verilerin toplandığına ilişkin ağ trafiği kayıtları ve ayrıntılı analizler paylaşılmış değil.
Samsung’un bu yeni iddialara özel bir teknik açıklaması da henüz tespit edilmedi. Araştırmacı ise bulgularını daha kapsamlı bir teknik raporla yayımlama fikrini gündeme getirirken, teknoloji incelemeleriyle tanınan Gamers Nexus ekibine de konuyu araştırmak isteyip istemediklerini sordu.
