Samsung et Vizio envoient des données avec ACR désactivé
Des chercheurs de la Northeastern University, aux États-Unis, ont constaté que la reconnaissance automatique de contenu, connue sous le nom d’ACR, ne cesse pas toujours de fonctionner après sa désactivation dans les paramètres des téléviseurs connectés. Cette technologie identifie ce que regarde l’utilisateur, et les fabricants exploitent les informations recueillies pour cibler la publicité.
L’étude a porté sur 12 téléviseurs de 10 marques, fonctionnant sous différents systèmes d’exploitation. La désactivation de l’ACR s’est révélée efficace sur les appareils LG avec webOS, Sony avec Google TV, Amazon avec Fire TV, ainsi que sur les modèles équipés de VIDAA OS. En revanche, sur les téléviseurs Samsung avec Tizen et Vizio avec SmartCast OS, l’envoi de données s’est poursuivi après la désactivation.
Les résultats les plus marquants concernent Samsung. Une transmission de données a été enregistrée dans les 30 tests réalisés avec le service de streaming propre au fabricant. Pour la télévision hertzienne par antenne, du trafic a été détecté dans 41 tests sur 60, avec une source externe en HDMI dans 18 tests sur 30, et dans l’application Tubi dans six tests sur 30.
Les experts ont signalé séparément les téléviseurs Roku. Sur ces appareils, la désactivation de l’ACR n’interrompt pas le suivi dans le service propriétaire The Roku Channel, mais l’entreprise le précise dans ses conditions d’utilisation.
Les chercheurs soulignent que le trafic de Samsung et de Vizio, après la désactivation de l’ACR, est transmis sous forme chiffrée. Il est donc impossible de déterminer avec précision quelles informations parviennent aux serveurs externes, mais une telle pratique peut présenter des risques pour la vie privée des utilisateurs.
Les téléviseurs sous VIDAA OS ont suscité la plus vive inquiétude : leur trafic ACR n’était pas du tout chiffré, et les données arrivaient sur un serveur dépourvu de contrôle d’authentification. En trois heures environ, les spécialistes ont recueilli 57 millions d’enregistrements de visionnage provenant de plus d’un million d’appareils. Après le signalement à l’entreprise, la faille du serveur a été corrigée, mais la transmission des données ACR sur VIDAA se fait toujours sans chiffrement.
Pour se protéger de la collecte de données, les auteurs de l’étude recommandent de déconnecter le téléviseur d’internet et d’utiliser un appareil de streaming externe ne prenant pas en charge l’ACR.