삼성·비지오 TV, ACR 꺼도 데이터 전송
미국 노스이스턴대학교 연구진은 스마트 TV 설정에서 자동 콘텐츠 인식 기능, 이른바 ACR을 꺼도 해당 기능이 항상 중단되는 것은 아니라는 사실을 확인했습니다. 이 기술은 이용자가 시청하는 내용을 파악하며, 제조사는 수집한 정보를 맞춤형 광고에 활용합니다.
연구에서는 서로 다른 운영체제를 사용하는 10개 브랜드의 TV 12대를 점검했습니다. ACR 비활성화는 webOS를 탑재한 LG, Google TV를 사용하는 소니, Fire TV를 사용하는 아마존, 그리고 VIDAA OS 기반 모델에서 효과가 있었습니다. 반면 Tizen을 사용하는 삼성과 SmartCast OS를 사용하는 비지오 TV에서는 비활성화 이후에도 데이터 전송이 계속되었습니다.
가장 두드러진 결과는 삼성에서 나타났습니다. 제조사 자체 스트리밍 서비스에서는 30건의 시험 모두에서 데이터 전송이 확인되었습니다. 안테나를 통한 지상파 시청에서는 60건 중 41건, HDMI로 연결한 외부 기기에서는 30건 중 18건, Tubi 앱에서는 30건 중 6건에서 트래픽이 감지되었습니다.
전문가들은 로쿠 TV도 별도로 언급했습니다. 이 제품은 ACR을 꺼도 자체 서비스인 The Roku Channel에서의 추적이 중단되지 않지만, 회사는 이 사실을 이용 약관에 명시하고 있습니다.
연구진은 ACR을 끈 뒤 삼성과 비지오가 전송하는 트래픽이 암호화되어 있다고 강조했습니다. 따라서 외부 서버로 어떤 정보가 전달되는지 정확히 알 수는 없지만, 이러한 관행은 이용자의 개인정보 보호에 위험을 초래할 수 있습니다.
가장 큰 우려를 낳은 것은 VIDAA OS 기반 TV였습니다. ACR 트래픽이 전혀 암호화되지 않았고, 데이터는 인증 확인이 없는 서버로 전송되었습니다. 전문가들은 약 세 시간 만에 100만 대가 넘는 기기에서 5,700만 건의 시청 기록을 확보했습니다. 회사에 통보한 뒤 서버의 취약점은 막혔지만, VIDAA의 ACR 데이터는 여전히 암호화되지 않은 상태로 전송되고 있습니다.
데이터 수집을 피하기 위해 연구진은 TV를 인터넷에서 분리하고 ACR을 지원하지 않는 외부 스트리밍 기기를 사용할 것을 권고합니다.