webOS搭載のLGスマートTVでプライバシーと脆弱性の指摘–問題の本質と日本のユーザーの対策はこれ

おっと。webOSに脆弱性？LGモニターにプライバシー上の問題あり？しかも、意図的？という主張が出てきています。まじか！

そもそも、webOSはPalm, Inc.がPalm OSの次世代として開発したOS。最初のデバイスは「Palm Pre」、初のwebOSタブレット「TouchPad」。その後、事業はHPにわたり、HPが製品開発を中止し、2013年にwebOSの開発チームごとLGへ売却。2014年からはLGのスマートTVに採用されています。経緯詳細は＞こちら

この流れもあって、webOS搭載スマートモニター・テレビの製品情報も紹介していた（自分でも購入検討は常にしていた）ので、今回の話は気になるところ。調べてみました。

まず、発端となったのは、Gamers NexusのYouTube動画。

Gamers Nexusが提示したもの

Gamers Nexusは、PCパーツの検証で知られる米国のメディア。135分の調査動画として2026年9月7日に公開されています。

単独取材ではなく、Level1TechsのWendell氏と、独立系のセキュリティ研究者2名（Mr. Bruh氏、U-Turn氏）との共同調査となっていて、テスト機はG5、G3など、実際に量販店で購入した製品が使われています。

指摘は大きく分けて2つ。

・ひとつはLGが設計として組み込んでいる広告システムに準ずる機能について。
・もうひとつは、webOSに見つかった脆弱性についてです。

広告事業を担うLG Ad Solutionsは、米国内で4,900万台、世界で2億1,600万台のLG製スマートTVにリーチできるとしています。加えて米国内で3億6,300万台の「セカンダリデバイス」にアプローチできるという説明も出しています。

動画では、同社幹部が広告主向けの場で「We own the glass（画面は我々のものだ）」と発言する映像が、3人分収録されています。

しかしながら「録音されている」と「録音される可能性がある」は別の話

ここが今回いちばん重要なところです。

SNSや一部の記事では「LGのTVがあなたの会話を録音している」と主張していて、この論調で拡散しています。ですが、Gamers Nexus自身は2つを明確に分けています。

ひとつめはLGが設計として組み込んだ機能。ネットワーク走査、ACRによるデータ送信、音声ログ、規約と同意画面の作り。これらは脆弱性ではなく、そういう製品として作られています。

ふたつめは脆弱性を突いた場合に可能になること。
電源が切れているように見える状態での録音、ネットワークを抜いた状態での録音継続と再接続後の送信、会議室のスピーカー音声の傍受。動画のデモとして印象が強いのはこちらですが、これらは研究者がTVをroot化して掌握した状態で行われたものです。

つまり後者は「LGがいまやっていること」ではなく「攻撃者に侵入されれば可能になること」。

Malwarebytesも、一部はLGの意図した製品挙動に関するもので、他は責任ある開示の途中にある脆弱性に依存する、と切り分けて報じています。

どちらも問題ではあるのですが性質が違います。
前者は設定で減らせる部分があり、後者はファームウェアの更新とネットワーク設計の話になります。

webOSの脆弱性は今回が初めてではない

「webOSに脆弱性がある」という主張が妥当なのかを調べました。これについては過去に公開されたCVEの履歴を見ると妥当といえます。

攻撃の起点は、スマートフォン連携用にポート3000/3001で動くサービス。本来はLAN内でのみ使われる想定ですが、そこがインターネットに出ている機器が9万台規模で存在していました。

2025年9月にも別の脆弱性が公開されています。パストラバーサルで認証なしにファイルを取得し、ペアリング済みクライアントの認証キーを抜き出して認証を回避、デベロッパーモードを有効化して掌握できるというものです。

なお、追記しておくと、これらの脆弱性の所在はsecondscreen.gateway、com.webos.service.connectionmanager、processAnalyticsReportであり、いずれもLGが独自に実装したサービスです。
Palm, Incが開発していた時のコードに起因するものではありません。

LGはwebOSの脆弱性を認識しているが、指摘されるまで動かない

では、LGは脆弱性を放置しているという主張はどうでしょうか。ここは調べた結果、「放置している」とまでは断定できませんでした。

LGはHackerOneに脆弱性の報告窓口を持っています。SMR-SEP-2025のような形式でセキュリティアドバイザリも発行しています。

Bitdefenderの件のタイムラインは、2023年11月1日に開示、LGが2週間後に確認、12月に延長を要請したうえで2024年3月22日にパッチをリリース、というものでした。4か月半かかっているので速くはありませんが、無視はしていません。修正対象にはwebOS 4.9.7、つまり2018年モデルも含まれています。

セキュリティ企業Spurが、webOSアプリストアのアプリの42.5%にレジデンシャルプロキシのSDKが含まれていると指摘した件でも、LGのSVPは開発者と協力して該当機能の削除通知を行い、応じないアプリは停止すると回答しています。

結論として、webOSの脆弱性については、指摘されれば修正対処している、が事実です。ここは動画の主張は当たりません。

広告レイヤーのほうは、規制当局が動いて初めて変わった

一方、ACRと同意プロセスについては話が別です。
こちらは意図しない脆弱性ではなく、LGが設計としているものなので、直すかどうかは技術ではなく経営判断になります。

そして悪いことに、実際に、法的機関から強制されるまで変わりませんでした。

州司法長官が提訴したのは5社であり、LGだけの問題ではありません。ACRを載せた製品を売っているメーカーが、まとめて同じ指摘を受けています。

ポップアップでの開示もオプトアウト手段の整備も、訴訟の和解条件として出てきたもの。自発的に訂正したものではありません。

PalmFanでも紹介してきたスマートモニターはどうなのか

スマートモニターについても同じ問題はあります。

LGのwebOSは、スマートTVとMyView Smart Monitorで共通。ACRの設定項目も同じ経路にあります。

Gamers Nexus自身も調査中にLGのスマートモニターを購入していて、初回起動とネット接続の時点で「30日後に利用規約が更新され発効する」という通知を受け取っています。箱から出した瞬間に、内容の分からない将来の規約変更を先に受け入れる形になっていました。

そして、以下はMacユーザーに直結する部分です。

ACRは音声と映像の断片をフィンガープリント化するもので、内蔵アプリを使わずHDMIから入れた映像も対象になります。MacをUSB-Cで繋いで外部ディスプレイとして使っているだけでも、止まっていません。

Bitdefenderが2024年に公開した脆弱性も、TVだけでなくwebOSを搭載する商用サイネージモニターに影響していました。webOSが載っている以上、モニターだから対象外ということにはなりません。

一応、日本での状況も確認しました。
LG Ad SolutionsのACRは2022年9月、27か国に展開されています。この対象国リストに日本が明記されています。2024年3月にはTeadsとの提携でLGのCTV広告在庫がAPAC10か国に拡大され、ここにも日本が入っています。

なお、2013年に視聴履歴の送信が問題になった際、LGエレクトロニクス・ジャパンは日本市場向けの製品には該当機能が搭載されていないという声明を出しています。日本語で検索すると今もこれが上位に出てきますが、2022年のACR展開で状況が変わっているため、現在の根拠にはなりません。

LG MyView Smart Monitorは日本でも2022年から販売されていて、Makuakeでの先行販売では目標金額の5,078%を達成しています。使っている人はそれなりにいるはずです。

もし、LGスマートモニターなどを使っている場合に確認すべきこと

ここからは実際の対処です。

お持ちのLG製TV・スマートモニターで、以下を確認してみてください。表示されていたら、それぞれ対処が必要です。

もうひとつ、根本的な選択肢としてネットワークから切り離して、純粋な外部ディスプレイとして使う、という方法が思い浮かびますが、有効な対策といえない話も出ています。

Gamers Nexusの調査では、一度規約に同意した機器はネットワークを抜いてもACRが動作し続け、再接続時に送信する可能性が指摘されています。この点は責任ある開示の途中にある内容を含むため、確定した話としては扱えません。

さらにネットワークに接続していないと、ファームウェアの更新ができなくなるというデメリットがあります。

なお、僕はLGスマートモニター・TVを持っていないので、日本語版webOSのメニュー項目について実機確認はできていません。英語版の項目名で確認されている内容をベースにしています。日本語版で名称が違っていたら教えてください。：M.Hirose@Palmfan.com（@palmfancom） / X

僕もLGスマートモニターは購入リストに入れているのですが、少し様子を見た方が良さそうに思えてきました。