Samsung e Vizio inviano dati anche con ACR disattivato
Ricercatori della Northeastern University negli Stati Uniti hanno accertato che la funzione di riconoscimento automatico dei contenuti, nota come ACR, non sempre smette di funzionare dopo essere stata disattivata nelle impostazioni dei televisori smart. Questa tecnologia individua ciò che l’utente sta guardando, e i produttori utilizzano le informazioni raccolte per personalizzare la pubblicità mirata.
Nello studio sono stati esaminati 12 televisori di 10 marchi, basati su diversi sistemi operativi. La disattivazione dell’ACR si è rivelata efficace sui dispositivi LG con webOS, Sony con Google TV, Amazon con Fire TV e sui modelli con VIDAA OS. Sui televisori Samsung con Tizen e Vizio con SmartCast OS, invece, l’invio dei dati è proseguito anche dopo la disattivazione.
I risultati più significativi riguardano Samsung. La trasmissione dei dati è stata registrata in tutti i 30 test con il servizio di streaming integrato del produttore. Durante la visione della televisione terrestre tramite antenna il traffico è stato rilevato in 41 test su 60, con una sorgente esterna collegata via HDMI in 18 su 30, mentre nell’app Tubi in sei test su 30.
Gli esperti hanno segnalato separatamente i televisori Roku. Su questi dispositivi la disattivazione dell’ACR non interrompe il monitoraggio nel servizio proprietario The Roku Channel, ma l’azienda lo dichiara nel contratto con l’utente.
I ricercatori sottolineano che il traffico di Samsung e Vizio dopo la disattivazione dell’ACR viene trasmesso in forma cifrata. Per questo non è possibile stabilire con precisione quali informazioni raggiungano i server esterni, ma una simile pratica può comportare rischi per la privacy degli utenti.
La maggiore preoccupazione ha riguardato i televisori con VIDAA OS: il loro traffico ACR non era affatto cifrato e i dati arrivavano a un server privo di verifica dell’autenticazione. In circa tre ore gli specialisti hanno ottenuto 57 milioni di registrazioni di visione da oltre un milione di dispositivi. Dopo la segnalazione all’azienda, la vulnerabilità del server è stata chiusa, ma la trasmissione dei dati ACR su VIDAA continua ad avvenire in forma non cifrata.
Per proteggersi dalla raccolta dei dati, gli autori dello studio consigliano di scollegare il televisore da internet e di usare un dispositivo esterno per lo streaming che non supporti l’ACR.