LG akıllı televizyonlarda ortaya çıkan dinleme ve tarama skandalı büyüyor. Siber Güvenlik Uzmanı Osman Demircan, cihazların ekran kapalıyken bile verileri nasıl topladığını ve korunmak için atılması gereken 5 somut adımı anlattı.
Gamers Nexus ve bağımsız siber güvenlik araştırmacılarının yayımladığı son incelemeler, webOS işletim sistemli LG akıllı televizyonların (G5 serisi dahil OLED modellerinin) ekran kapalıyken dahi dahili mikrofondan ortam seslerini kaydettiğini, ev ağındaki cihazları taradığını ve toplanan verileri hedefli reklam birimi LG Ad Solutions'a aktardığını ortaya çıkardı.
İnternet kesilse dahi verileri belleğinde saklayıp ilk bağlantıda sunuculara yükleyen bu sistem, akıllı ev cihazlarındaki veri mahremiyeti tartışmalarını yeniden alevlendirdi. Siber Güvenlik Uzmanı Osman Demircan, sürecin teknik işleyişinden hukuki boyutuna ve ağ seviyesinde alınabilecek somut önlemlere kadar kritik değerlendirmelerde bulundu.
KUMANDADAN KAPATMAK TAMAMEN KAPANMASI ANLAMINA GELMİYOR
Televizyonun kumandadan kapatılmasıyla elektriksel olarak tamamen kapatılmasının kesinlikle aynı şey olmadığını vurgulayan Osman Demircan, modern akıllı televizyonlarda ekran ve ana işlemci uykuya geçse dahi düşük güç tüketimli bileşenlerin çalışmaya devam ettiğini belirtti. Demircan, dinleme ve tarama sürecinin teknik arka planını şu sözlerle açıkladı:
"Cihazların uykuda kalma nedeni kumandadan açılmayı, telefondan televizyona bağlanmayı veya 'Hi TV' gibi bir sesli komutu beklemektir. Sesli komut özelliği bulunan cihazlarda mikrofonun önünde genellikle düşük güç tüketen bir ses işlemcisi veya DSP bulunur. Bu işlemci sürekli olarak ses akışını değerlendirebilir ve belirli bir uyandırma kelimesini arayabilir. Uyandırma kelimesi algılandığında daha büyük işlemciyi veya bulut tabanlı ses tanıma sistemini devreye sokar."
Ağ taramasının ise televizyonun ev ağına bağlı bir bilgisayar gibi çalışması sayesinde gerçekleştiğini belirten Demircan, cihazın ARP, mDNS, SSDP/UPnP gibi yerel ağ keşif protokollerini kullanarak ağdaki telefonları, bilgisayarları, medya sunucularını ve IoT cihazlarını tespit edebildiğini aktardı.
Wi-Fi adaptörünün çevredeki ağların SSID ve sinyal seviyelerini algılamasının ekran paylaşımı veya akıllı ev entegrasyonu için standart bir işlem olduğunu ifade eden Osman Demircan, asıl sorunun bu verilerin hangi kapsamda toplandığı, ne kadar saklandığı ve nerelere aktarıldığı olduğunu vurguladı.
TELEVİZYON MENÜSÜNDEKİ GİZLİLİK AYARLARI YETERLİ Mİ?
Kullanıcıların marka ve modele göre sesli komut, eller serbest kullanım, hızlı başlatma, otomatik cihaz keşfi, ACR (Otomatik İçerik Tanıma) ve kişiselleştirilmiş reklam gibi seçenekleri menüden kapatabileceğini belirten Demircan, bu ayarların veri iletişimini tamamen kesmeyeceği konusunda uyardı:
"Bu seçeneklerin kapatılması, televizyonun bütün veri iletişiminin sona erdiği anlamına gelmez. Cihaz; işletim sistemi ve güvenlik güncellemelerini kontrol etmek, DNS sorguları yapmak, tarih-saat bilgisini eşitlemek, uygulama servisleriyle haberleşmek veya üreticinin farklı telemetri hizmetlerine bağlanmak için ağ trafiği oluşturmaya devam edebilir."
Demircan, en kesin kontrol yönteminin televizyonun menüsüne güvenmek yerine cihazın ağ trafiğini modem veya güvenlik duvarı üzerinden denetlemek, televizyonun internete hangi alan adlarına bağlandığını ve ev ağıyla iletişimini takip etmek, gerekirse Wi-Fi şifresini silerek internet erişimini ağ seviyesinde tamamen kesmek olduğunu belirtti.
Bir cihazın ortam sesi kaydetmesi ile hukuka aykırı veri işlemesi arasındaki ince çizgiye dikkat çeken Osman Demircan, ses verisinin kişisel veri niteliğinde olduğunu, IP adresleri ve ağ profillerinin de belirli bir kişi veya hane ile ilişkilendirilebildiği ölçüde kişisel veriye dönüştüğünü ifade etti. Sesin biyometrik veri sayılması için ise kişiyi benzersiz biçimde tanımlama amacıyla özel işleme tabi tutulması gerektiğinin altını çizdi.
KVKK’nın 4. maddesinde yer alan "hukuka ve dürüstlük kurallarına uygunluk", "belirli, açık ve meşru amaçlar için işlenme", "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerini hatırlatan Demircan, durumu şu başlıklara ayırdı:
İşleme Süreci / Teknik Zorunluluk: Cihaz yalnızca sesli asistana cevap vermek amacıyla uyandırma kelimesini yerel olarak analiz ediyorsa bu teknik bir zorunluluktur. Ancak ortam konuşmalarını saklayıp reklam profili oluşturmak üzere sunuculara gönderiyorsa, bu durum aydınlatma yükümlülüğü, hukuki işleme şartı ve veri minimizasyonu açısından ciddi ihlaller doğurur.
Avrupa Birliği (GDPR) Yaklaşımı: Avrupa Veri Koruma Kurulu akıllı TV'leri ve sesli asistanları "terminal equipment" (uç cihaz) kapsamında değerlendiriyor. Cihazda bilgi saklanması veya bilgiye erişilmesinde e-Privacy kuralları devreye girerken, kişisel verilerin işlenmesi için GDPR kapsamında geçerli bir hukuki dayanak aranıyor.
Kullanıcıların Yasal Hakları: Türkiye'de kullanıcılar KVKK kapsamında veri sorumlusuna başvurarak kendileriyle ilgili veri tutulup tutulmadığını, işleme amacını ve aktarıldığı kişileri öğrenebilir; verilerin düzeltilmesini veya silinmesini talep edebilir. Veri sorumlusunun 30 gün içinde cevap vermemesi veya olumsuz yanıt vermesi durumunda KVKK Kurulu’na şikâyette bulunulabilir ve hukuka aykırı işleme nedeniyle oluşan zararlar için tazminat davası açılabilir.
Televizyon ve benzeri IoT cihazların gizlice veri toplamasını önlemek için cihazın kendisine güvenmek yerine ev internet ağını korumanın en etkili yöntem olduğunu savunarak teknik tedbirleri sıralayan Demircan'ın önerileri şöyle:
1- Ağ Segmentasyonu (IoT Ağı Kurma): Akıllı cihazları, bilgisayar ve telefonların bulunduğu ana ağdan ayırın. Modemin sunduğu Misafir (Guest) Network, IoT Network veya ileri seviye modemlerdeki VLAN özelliklerini kullanarak ağı bağımsız parçalara bölün.
Kaynak: Hürriyet
