|
|
你瘫在沙发上，按下遥控器，想刷一集新剧，却发现缓冲圈转得比剧情还长。你骂了一句运营商，重启了光猫，又检查了 Wi‑Fi 密码是不是被隔壁蹭了。一切看上去都正常，可网速就是像被什么东西吞掉了。这时候，客厅里那台安静得像块黑镜的智能电视，可能正在替一个远在英国的陌生人传输数据包。而你下个月照样要付宽带账单，一毛钱都不会少。
这件事不是都市传说。就在不久前，三星和 LG 先后动手，把一批给电视用的应用从官方商店里下架。这些应用表面人畜无害，有的甚至挂着“编辑精选”的金字招牌，背地里却在做一件非常赛博的事——把你的家庭网络变成陌生人的中转站。换句话说，你买回家的那块大屏幕，不知不觉就成了全世界匿名流量的出口之一。
很多人对智能电视的安全感是天然的。你可能会觉得手机和电脑容易中招，因为你会下载奇奇怪怪的东西，或者点开不明链接。但一台电视能干什么？它不过是看看流媒体，玩个吃豆人，连文件管理都没有。可恰恰是这种“它什么也干不了”的错觉，让攻击者找到了最舒服的藏身之地。电视操作系统比手机更封闭，更新也慢，用户几乎不会像检查手机那样去检查电视的后台。而这一次出事的，还不是什么隐藏在犄角旮旯的山寨应用，而是三星自己都曾大力推荐的游戏。
根据安全公司 Mnemonic 的调查和 TechCrunch 的报道，一个名叫 Bright Data 的数据收集公司，把一段“睡眠代理”代码塞进了看似正规的应用里。这段代码的逻辑非常精妙：表面上，你下载的是一个消消乐或者吃豆人；一旦安装，它就会让你的电视成为一个网络代理节点，即便你关掉了这个应用，甚至再也没打开过它，这个代理功能依然可以在后台工作。就像租房时房东给了一把钥匙，你以为只有你能进，其实地下室早就被你不知道的人租出去当仓库了。
这种代理网络在技术圈有个专门的名字叫“resproxy”，也就是住宅代理网络。它不是直接偷你的文件，而是借用你的 IP 地址，让外来的网络请求看起来像是从你家发出的。某个在英国曼彻斯特的人，可能通过你的电视，让目标网站误以为请求来自美国亚利桑那州的某户人家。这样一来，追踪真实来源就变得极其困难。Bright Data 这类公司把这种服务打包出售，买家可能是做市场调研的，也可能是做网络攻击的。不管哪一种，账单和潜在的法律风险，却留给了你。
更让人哭笑不得的是，三星不是被蒙在鼓里，而是被开发者精巧地绕过了审核。很多被植入代理代码的应用，本身代码极少，只有寥寥数行。它们的功能不是内置的，而是开机后从远程服务器拉取内容，动态拼出一个可以交互的画面。在三星的审核团队眼里，这个应用什么多余的事都没做，干净得像个空壳，自然就放行了。但用户一旦运行，远程服务器就可以下发真正的“秘密指令”，把网络代理模块激活。这就像你签收了一个空快递箱，但里面其实藏着一个会自动拨打长途电话的小盒子。
别忘了，被三星标上“编辑精选”的吃豆人游戏，就是 Play.Works 授权的官方移植版。Play.Works 手上握着一堆你耳熟能详的 IP——太空侵略者、俄罗斯方块、涂鸦跳跃、海绵宝宝。你总以为下载一个有版权、有品牌背书的官方游戏肯定不会有事。可问题就在这里：Bright Data 的代码已经被嵌入这些授权版本中，你下载一个海绵宝宝，电视机就开始悄悄给全世界的陌生人开路。这无关你信任哪个品牌，因为你信任的那个品牌，已经在不知情的情况下成了“同谋”。
LG 这边的情况也没有好到哪儿去。有报道指出，在 LG 的应用商店里，超过 40% 的应用可能已经把你的电视挂进了代理网络。这个数字一出来，基本意味着随便装个表盘或者天气预报，都可能搭进去自己的家庭带宽。以至于 LG 紧随三星之后，也迅速封禁了所有带有 resproxy 功能的应用。两家巨头的动作之快，恰巧说明这个事情远比一次普通的安全更新要严重得多。
很多人第一反应是：我家电视不是三星也不是 LG，是不是就安全了？先别急着松一口气。这一次暴露出来的，是一个隐藏在智能电视生态里的灰产链条。三星和 LG 之所以第一时间被点名，是因为覆盖了足够多的用户，而且被安全研究者抓了个现行。但其他电视品牌的审核机制并不会比它们强到哪里去。那些主打性价比、甚至早就停止系统更新的智能电视，可能至今仍然在官方商店里躺着几款看似无害的图画书应用或者天气小组件，底层却偷偷跑着代理服务。
更微妙的地方在于，你很难察觉到电视被用了。通常，这类代理服务会智能地限制带宽占用，尽量不在你看 4K 流媒体时抢网速，而是等你关了电视、去睡觉以后才全速运转。所以你不一定看个视频就卡，但可能会发现家里某些时段网速莫名变慢，或者路由器指示灯深夜还在狂闪。你不会联想到电视，因为你的潜意识里，电视关机之后就该彻底安静了。可现代智能电视根本不存在“关机”这个词，它们更多是“待机”。那个黑掉的屏幕底下，系统和网络模块仍然可以被唤醒。
好消息是，在这一波曝光之后，三星和 LG 的电视用户如果不主动去侧载应用，基本上不会再遇到这种问题。两家都已经把问题应用从商店清扫出去，系统也有可能通过后台更新来拦截类似的通信方式。但主动防范的思路还是得建立起来，因为今天可以是 Resproxy，明天就可能是偷 cookie 的模块，或者加密挖矿的脚本。智能电视的硬件配置越来越强，装上一个芯片跑个代理绰绰有余，黑客甚至不需要破解你的路由器，只要成功上一个架就行。
那现在你能做什么？首先，把电视的系统更新打开，别让那行“有新版本可用”的通知在那里躺半年。厂商封堵这类漏洞，很多时候就是通过系统级的安全补丁。其次，只装你真正需要的应用。那个电视版的计算器，或者只有三张图片的天气应用，如果对你看剧毫无帮助，不如彻底删掉。应用越少，被当作跳板的机会就越小。第三，多留意路由器后台的设备流量统计。如果你发现电视机在凌晨两三点仍有不小的上传流量，那不是它在深夜反思剧情，而是很可能在替别人打工。
还有一个容易被忽略的地方：很多电视上预装的应用，其实也属于第三方。采购和预装环节如果缺乏安全审计，同样可能带来和商店下载一样的风险。你压根没主动安装的东西，也许早在出厂时就已经躺在那儿了。因此，定期清理一下应用列表，停用甚至卸载那些永远用不上的预装内容，是一个低成本的安全习惯。想一想，你买电视是为了看影像，不是为了给别人做云服务器。
把视线拉远一些，这整个事件其实暴露出一个趋势：随着家里所有屏幕都联网，我们正在把越来越多的入口塞进一个并不设防的环境里。智能音箱、智能冰箱、智能门锁都在复制同一个模式——硬件便宜，维护稀缺，用户警惕性低。智能电视只是最先被瞄上的那个大靶子，因为它屏幕大、品牌集中、应用商店审核相对薄弱。而这次暴露出来的 Bright Data 模式，本质上是一种合法的数据收集服务在游走于灰色地带。它不偷你的数据，但它借用你的身份，让追踪者找不到真正的终点。这种借势的生意，比赤裸裸的盗窃更难监管。
所以下次当你看到电视屏幕上弹出“为获得更好体验，请允许此应用连接互联网”的窗口时，不妨多花两秒想一想：它真的是为了给你播天气吗？还是为了让远方的某个 IP 看起来正从这个城市的某个角落发出请求？在智能电视安全这件事上，最大的矛盾不是我们不知道怎么做，而是我们总觉得“反正也不会有事”。可一个官方推荐、叫得出名字的游戏都能埋下这种陷阱，就已经说明，安全这件事情，从来不是品牌替你全权负责的。
你可以继续躺在沙发上，用同一台电视追完今晚更新的剧。只是，在拿起遥控器之前，多一个心眼就好。毕竟，有些 app 表面上是吃豆人，实际上早就把你的网络当自助餐了。 |
|
发表于 2026-8-22 03:47:18
