Investigadores descubrieron que los televisores inteligentes de Samsung y Vizio continuaron enviando tráfico compatible con el reconocimiento automático de contenido (ACR), incluso después de que los usuarios desactivaran dicha función en los ajustes de privacidad. Aunque el tráfico cifrado impidió confirmar los datos exactos, el hallazgo cuestiona la efectividad de los controles de privacidad de estos dispositivos para detener el flujo de datos de visualización.

Las smart TVs de Samsung y Vizio siguieron enviando tráfico consistente con el reconocimiento automático de contenido (ACR) incluso después de que los investigadores desactivaran la función en los ajustes de privacidad.

Los hallazgos plantean dudas sobre si los controles de privacidad de las smart TVs detienen los flujos de datos relacionados con la visualización, al tiempo que aclaran una limitación importante: el tráfico cifrado impidió que los investigadores confirmaran exactamente qué transmitían estos dispositivos.

El estudio Watching the Watchers analizó 12 televisores comerciales de diez fabricantes a través de ocho sistemas operativos que representan aproximadamente el 95% del mercado de smart TVs en EE. UU.

Los investigadores realizaron 5.943 experimentos automatizados, comparando la actividad de la red con el reconocimiento automático de contenido activado y desactivado.

Rastreo de Samsung TV después de que tú lo desactives

El ACR identifica el contenido de la pantalla utilizando muestras cortas de audio o vídeo, o huellas digitales derivadas de ellas. Los proveedores comparan estas señales con contenido conocido para identificar programas. Los registros de visualización pueden servir para la medición de audiencia, la publicidad segmentada y el intercambio de datos.

Las TVs de Samsung y Vizio continúan el rastreo tras optar por desactivarlo

Esta función puede monitorizar contenido más allá de las aplicaciones de streaming, incluyendo emisiones de antena y dispositivos HDMI. Coberturas anteriores sobre el rastreo de smart TVs describieron cómo el ACR puede operar incluso cuando un televisor sirve principalmente como pantalla externa.

Para el nuevo análisis, los investigadores capturaron paquetes de red. Al mismo tiempo, los televisores reprodujeron contenido controlado a través de entradas de antena, conexiones HDMI, servicios de streaming y duplicación de pantalla. Cada escenario de visualización se repitió con el ACR activado y tras optar por desactivarlo.

El televisor Tizen de Samsung mostró tráfico consistente con el ACR en las 30 pruebas en las que se había desactivado la función relacionadas con su servicio de streaming integrado. Apareció tráfico similar en 41 de 60 pruebas de antena, 18 de 30 pruebas de HDMI y seis de 30 pruebas de Tubi.

El televisor SmartCast de Vizio continuó contactando con su punto final de ACR de Amazon Kinesis identificado en cada ejecución en la que se había desactivado la función para los escenarios afectados. Los investigadores no observaron ninguna disminución cuando la función estaba desactivada.

Estos hallazgos no prueban que Samsung o Vizio continuaran registrando los historiales de visualización. La mayor parte del tráfico ACR estaba cifrado, por lo que los investigadores se basaron en los destinos, los tiempos, el volumen y otros patrones de red. No pudieron determinar qué información llegó a los servidores de las empresas ni si las empresas la almacenaron.

La desactivación funcionó en los sistemas probados de LG webOS, Sony Google TV, Amazon Fire TV y VIDAA. El ajuste de Roku no cubría su propio servicio de streaming, una restricción revelada en el televisor TCL probado, pero no en el modelo de marca Roku.

El documento de investigación también describe riesgos más allá del incierto tráfico cifrado. VIDAA transmitió mensajes de ACR a través de MQTT sin cifrado, exponiendo identificadores de dispositivo, nombres de aplicaciones, fuentes de entrada y huellas digitales de audio.

Un servidor no autenticado expuso más de 57 millones de resultados de detección vinculados a más de un millón de televisores. VIDAA añadió posteriormente requisitos de inicio de sesión, según los investigadores, pero las transmisiones siguieron sin cifrar.

Por separado, el servicio WatchFree+ de Vizio colocó información legible del programa o canal en nombres de red visibles a través de solicitudes DNS e información de nombre de servidor TLS. Esto podría revelar tus elecciones de visualización a observadores de la red incluso con el ACR desactivado.

Los investigadores recomiendan que desconectes el televisor de internet o que bloquees los puntos finales de ACR identificados. Su lista de bloqueo publicada no interrumpió la visualización en los escenarios probados, pero no detiene la filtración de títulos de WatchFree+.

Los riesgos de las smart TVs también se extienden más allá del ACR. Investigaciones independientes sobre aplicaciones de televisión con capacidad de proxy resaltan por qué los permisos de las aplicaciones y los servicios integrados merecen un escrutinio. Estos hallazgos se aplican a los dispositivos y firmware probados, no a cada televisor de estas marcas.

Fuentes:
https://cybersecuritynews.com/samsung-tv-tracking-after-users-turn-it-off/