Un estudio de la Universidad Northeastern, de Estados Unidos, detectó que televisores de Samsung, Roku y Vizio siguen enviando tráfico compatible con el rastreo de lo que ve el usuario aun después de que este lo desactiva en los ajustes. En el aparato de Vizio, la opción no cambió nada.
El sistema se llama reconocimiento automático de contenido (ACR, por sus siglas en inglés). Toma muestras del audio o del video que reproduce el televisor, las convierte en huellas digitales y las compara con una base de datos para saber qué se está viendo. Los fabricantes lo usan para recomendar programas, medir audiencias y mostrar publicidad dirigida, según The Verge.
Los investigadores analizaron 12 televisores de 10 fabricantes, con ocho sistemas operativos que suman cerca del 95% del mercado estadounidense. Hicieron 5.943 experimentos, con la opción de rastreo activada y desactivada. Según el trabajo, en 2025 el 82% de los hogares de Estados Unidos tenía televisores con ACR.
La baja funcionó por completo en cuatro sistemas: webOS, de LG; Google TV, en el televisor de Sony probado; Fire OS, de Amazon; y Vidaa, que usan Hisense, Toshiba y otras marcas, en un aparato de Supersonic. En esos equipos no quedó tráfico compatible con ACR tras desactivar la función.
Con el televisor de Vizio, propiedad de Walmart, el tráfico hacia el servidor identificado como de reconocimiento de contenido no disminuyó en ninguno de los escenarios de prueba con la baja activada. Vizio dijo a The Verge que el tráfico cifrado observado no es ACR sino "datos operativos de rutina" para el funcionamiento del aparato.
En el Samsung, con el sistema Tizen, el tráfico compatible con ACR persistió en los 30 experimentos con servicios de streaming propios, en 41 de 60 con antena y en 18 de 30 por cable HDMI. También apareció, en menor medida, durante pruebas con Tubi, Netflix y YouTube.
En los dos aparatos con sistema Roku, uno de Roku y otro de TCL, la baja no se aplica al servicio de streaming propio, The Roku Channel. TCL lo advierte en el menú de ajustes. Roku no lo hace.
Los autores aclaran que casi todo el tráfico estaba cifrado. No pueden confirmar su contenido ni si los datos se procesan o se guardan en los servidores de las empresas. Por eso interpretan el tráfico restante como sospechoso y hablan de posibles violaciones de la privacidad, no de una comprobación.
El equipo también halló una falla en Vidaa. Un servidor que recibe los resultados del reconocimiento, vinculado a la plataforma publicitaria Unruly, no pedía contraseña. Durante unas tres horas, desde una laptop, los investigadores recibieron más de 57 millones de resultados de más de un millón de televisores.
Cada mensaje llevaba un identificador permanente del aparato, el canal o la aplicación y una huella de audio. Los programas se clasificaban en 82 categorías, entre ellas política, salud y medicina, y religión. Vidaa confirmó la falla. Ahora el servidor exige credenciales, pero los mensajes siguen viajando sin cifrar.
John Higgins, de The Verge, envió 17 preguntas de sí o no a 11 empresas, sobre micrófonos, capturas de pantalla y datos almacenados. Respondieron Amazon, Apple, Google, LG, Roku, Samsung y TCL. Hisense ignoró cinco intentos de contacto. Panasonic, Sony y Vizio no contestaron las preguntas sobre micrófonos ni sobre capturas.
Samsung afirmó que sus televisores "no escuchan ni graban conversaciones privadas" y que guarda en servidores los comandos de voz solo para procesarlos y mejorar el asistente. LG indicó que el ACR viene desactivado de fábrica y usa huellas de audio, no capturas de pantalla. Amazon señaló que todo Fire TV con micrófono tiene un interruptor físico para apagarlo.
Apple respondió que el Apple TV 4K no usa ACR. Google dijo lo mismo del software Google TV, y precisó que los fabricantes que lo instalan pueden sumar el suyo. Esa salvedad importa: según el estudio, uno de los dos televisores de Sony con Google TV sí mostró actividad de ACR.
Los autores del estudio recomiendan desconectar el televisor de internet y usar un dispositivo de streaming sin ACR. Si se prefieren las aplicaciones integradas, aconsejan los sistemas donde la baja funcionó y desactivar todo lo posible. También piden a los reguladores que exijan que la opción de salida funcione por completo.
