Un investigador de ciberseguridad, conocido como log4j, logró obtener acceso de root a un Samsung Smart TV 2025. El análisis comenzó tras notar que el televisor mostraba anuncios excesivamente específicos sobre su hogar, descubriendo que el software está diseñado para realizar un seguimiento exhaustivo del usuario que va mucho más allá de la simple visualización de imágenes.

Un investigador de ciberseguridad afirma que obtuvo acceso de root a un Samsung Smart TV de 2025 y encontró software diseñado para rastrear mucho más que la imagen en la pantalla. Conocido en línea como log4j, comenzó su investigación después de que el televisor siguiera mostrando anuncios que parecían extrañamente específicos para su hogar.

Dice que el firmware Tizen estaba cifrado con AES, por lo que las claves no estaban disponibles sin abrir el hardware. Utilizó vulnerabilidades de día cero para abrir una shell de root y documentó las funciones de rastreo con capturas de pantalla del código. Samsung no ha respondido públicamente. Los hallazgos no han sido reproducidos en un televisor no modificado.

En publicaciones que comenzaron el 21 de octubre de 2026, log4j enumeró el reconocimiento automático de contenido, el manejo de capturas de pantalla, la geolocalización, el mapeo de red, un servicio de publicidad segmentada y la creación de perfiles de usuario. También describió un identificador de publicidad, a menudo llamado AID, que puede vincular la actividad del televisor con otros dispositivos. Según indicó, una red neuronal específica de la región rastrea qué videos se reproducen, qué anuncios se omiten y hasta qué punto un espectador avanza en un título.

El audio es la afirmación que ha provocado la reacción más fuerte. Dice que el firmware incluye un paquete que él llama "voz siempre activa", nombrado en una publicación como csapi-tv-service-alwaysonvoice. Escribió que la telemetría cuenta eventos como el ladrido de un perro o el llanto de un bebé. También afirma que un televisor sin micrófono integrado puede buscar una barra de sonido conectada o un dispositivo Bluetooth y usar ese micrófono para eventos de audio. Un componente que llama rmdemon se describe como una forma para que el personal de soporte acceda al dispositivo para diagnósticos cortos.

El ingeniero de Hugging Face, ngxson, probó un televisor Tizen con root con varios ajustes ya desactivados. Tom’s Hardware informó que el micrófono se abrió durante cinco segundos y luego se detuvo. Un televisor no modificado podría comportarse de manera diferente.

Las afirmaciones siguen a presiones legales anteriores sobre el mismo tipo de rastreo. El 15 de diciembre de 2025, el Fiscal General de Texas, Ken Paxton, demandó a Samsung, Sony, LG, Hisense y TCL por el reconocimiento automático de contenido utilizado sin consentimiento informado. El 26 de febrero de 2026, su oficina anunció un acuerdo que exige que Samsung deje de recopilar datos de visualización ACR de los consumidores de Texas a menos que den su consentimiento expreso. El acuerdo cubre Texas y no confirma los nuevos hallazgos.

Se informó que los televisores de Samsung y Vizio seguían enviando tráfico consistente con el reconocimiento de contenido después de que los investigadores desactivaran la función.

Un estudio anterior encontró que los Smart TVs pueden identificar mediante "huellas digitales" lo que hay en pantalla, incluido el contenido HDMI, y hacer coincidir esas muestras para construir perfiles publicitarios. El aviso de privacidad de Samsung dice que la empresa puede enviar fragmentos de vídeo o audio a proveedores para que los anuncios coincidan con lo que se está reproduciendo.

Log4j dice que ese material se comparte con Samsung y aproximadamente 400 socios. La página de privacidad de la empresa sí indica que terceros pueden recibir detalles del dispositivo y registros de cómo las personas interactúan con los anuncios.

El 23 de octubre, log4j publicó un correo electrónico diciendo que OpenAI había desactivado su cuenta por "Abuso Cibernético". Escribió que nunca utilizó OpenAI para encontrar o explotar fallos, y que el baneo siguió a un trabajo local de ingeniería inversa que activó un sistema que él llamó Daybreak. Dijo que la pérdida le costó unos 500 dólares y lo impulsó a terminar un grupo de investigación más grande. OpenAI no ha explicado públicamente este caso.

En muchos televisores Samsung, los "Servicios de Información de Visualización" se encuentran en Ajustes, Todos los Ajustes, General y Privacidad, y luego Términos y Privacidad. Desactivar ese control es la forma establecida por el fabricante para detener el ACR.