삼성 TV 취약점, '프라이버시 악몽' 폭로
원제: Root shell on Samsung TV
왜 중요한가
스마트 TV의 광범위한 텔레메트리 수집 실태가 보안 연구를 통해 구체적으로 드러나며 IoT 기기 프라이버시 규제 논의에 불을 붙일 수 있다.
보안 연구자 log4j가 2025년형 삼성 TV에서 제로데이 취약점을 이용해 root shell 접근에 성공했다고 2026년 10월 21일 X에 공개했다. 해당 게시물은 260만 조회수를 기록했으며, 상시 마이크 기능, 자동 콘텐츠 인식, 위치 추적, 네트워크 매핑 등 광범위한 텔레메트리 수집 정황이 확인됐다고 주장했다.
보안 연구자이자 버그바운티 헌터인 log4j(@log4j)는 자신이 소유한 2025년형 삼성 TV에서 이상하리만큼 정밀한 타겟 광고를 받는 것을 의심하면서 조사를 시작했다. 펌웨어 분석을 시도했지만 AES 암호화로 막혀 있었고, 키를 확보하려면 기기를 분해해 UART 또는 JTAG 인터페이스에 직접 접근해야 하는 상황이었다. 연구자는 결국 제로데이 취약점을 활용해 root shell 획득에 성공했다.
이후 공개된 후속 스레드에서 log4j는 해당 TV에서 발견한 기능 목록을 열거했다. 상시 작동하는 마이크, ACR(자동 콘텐츠 인식), 지리 위치 추적, 네트워크 매핑, 타겟 광고 서비스, 4개의 별도 DRM 서비스, 사용자 프로파일 빌딩 기능 등이 포함됐으며, "삼성과 400여 개 파트너사"가 이 데이터를 공유한다고 주장했다.
또 다른 사용자 limina(@liminalsunset_)는 삼성의 보안 솔루션인 Knox와 EL2 하이퍼바이저가 실질적인 보호를 제공하지 못했다며, 이를 계기로 더 비싼 LG OLED 대신 삼성 OLED로 전환하겠다고 밝혔다. log4j는 하드웨어 리뷰 채널 GamersNexus에도 공동 취재를 제안한 상태다. 상세 보고서(write-up) 공개 여부는 아직 확정되지 않았으며, 삼성 측의 공식 입장은 현재까지 나오지 않았다.