Estudo aponta tráfego suspeito de ACR em smart TVs da Vizio e da Samsung mesmo após o opt-out

O estudo da Northeastern University, chamado "Watching the Watchers: Privacy Analysis of US Smart TV Automatic Content Recognition", testou oito sistemas operacionais de smart TV em 12 aparelhos de 10 fabricantes. Foram 5.943 experimentos controlados. A captura de tela ou de áudio feita pelo ACR vai para servidores remotos, onde serve para medir audiência e segmentar anúncios. Como as TVs são fechadas, técnicas como root e interceptação de TLS não estão disponíveis, então os pesquisadores precisaram inferir a atividade de ACR pelo padrão de tráfego.

Vizio OS: um endpoint na Amazon Kinesis recebeu tráfego em 100% dos cenários com opt-out, inclusive com a TV ociosa. O tráfego some só com apps de terceiros e espelhamento de tela, o que bate com o que a Vizio disse em um documento enviado à SEC em 2021. Samsung Tizen: o tráfego compatível com ACR persistiu em todas as 30 medições do app próprio, em 41 de 60 medições de antena e em 18 de 30 medições de HDMI. Roku: o tráfego pós opt-out ficou restrito ao The Roku Channel, algo previsto nos termos da empresa.

A criptografia impediu ver o conteúdo dos pacotes. Por isso o estudo fala em violações potenciais, não comprovadas. Os autores consideram improvável que os dados sejam descartados no servidor, e dizem que, mesmo se for bug, o opt-out do usuário não é respeitado. O artigo traz ainda uma lista de endereços e domínios para bloqueio, sem afetar a qualidade da imagem, e recomenda que os fabricantes listem todas as entradas monitoradas e criptografem e autentiquem o tráfego de ACR.

Para quem cuida de segurança e privacidade em ambiente corporativo, o recado é tratar smart TV como dispositivo IoT de rede, não como eletrônico inocente. Em salas de reunião e recepções, vale segmentar a rede e avaliar o bloqueio dos domínios de ACR listados pelos pesquisadores. É uma leitura nossa, mas o resultado reforça que a configuração na tela do aparelho não é garantia de que a coleta parou.