Un estudio de la Universidad Northeastern encontró que los televisores inteligentes con sistemas operativos de Samsung y Vizio siguen enviando datos hacia sus servidores de reconocimiento de contenido, incluso después de que el usuario desactiva el rastreo en la configuración.
La investigación, titulada “Watching the Watchers”, analizó 12 televisores de diez fabricantes que cubren ocho sistemas operativos distintos: Amazon, Hisense, LG, Roku, Samsung, Sony, Supersonic, TCL, Vizio y Westinghouse. En conjunto representan cerca del 95% del mercado estadounidense.
Los autores corrieron 5.943 experimentos controlados con guiones automáticos que manejaban cada televisor por Wi-Fi, mientras un software de monitoreo de red capturaba todo el tráfico entrante y saliente de los equipos.
La tecnología evaluada se llama reconocimiento automático de contenido (ACR, por su sigla en inglés). Toma capturas periódicas de audio o video de lo que se ve en pantalla, las compara con una base de datos de contenidos y así identifica qué está mirando cada usuario, información que luego sirve para medir audiencias y vender publicidad dirigida.
El opt-out de Samsung y Vizio no corta el envío de datos
En los televisores con Tizen, el sistema operativo de Samsung, el tráfico asociado al ACR continuó en los 30 de 30 ensayos de su servicio de streaming propio después de que los usuarios desactivaron el rastreo. También, persistió en 41 de 60 pruebas con antena y en 18 de 30 con conexión HDMI.
En Vizio OS, antes llamado SmartCast, el resultado fue más extremo: el tráfico hacia el servidor identificado como el más asociado al ACR, alojado en Amazon Kinesis, no mostró ninguna disminución en el 100% de las mediciones con la opción de rastreo desactivada. Esa señal incluso aparecía con el televisor encendido pero sin uso, solo en la pantalla de inicio.
Ilgar Mammadov, investigador de Northeastern y autor principal del trabajo, dijo a Ars Technica que, si los televisores efectivamente siguen rastreando a quienes rechazaron el rastreo, eso “plantearía serias dudas sobre el consentimiento y la transparencia hacia los usuarios”.
Mammadov consideró poco probable que los datos se transmitan y luego se descarten sin usarse, porque esa práctica consumiría el ancho de banda del usuario y la capacidad de los servidores de la empresa sin ningún propósito. El cifrado de la mayor parte del tráfico impidió a los investigadores confirmar qué contenido llevan esos envíos.
Roku fue la única excepción parcialmente avisada
En los televisores con Roku OS, el tráfico siguió apareciendo tras la desactivación solo cuando el usuario usaba el canal gratuito propio de la plataforma, The Roku Channel. A diferencia de Samsung y Vizio, ese comportamiento está descrito en los términos de servicio de Roku.
La diferencia entre marcas está en el aviso al usuario: los televisores TCL, que usan Roku OS, informan esa excepción en el propio menú de configuración, mientras que los Roku TV no lo hacen. El estudio encontró además tráfico continuado en 9 de 90 pruebas de antena en los equipos TCL.
El opt-out funcionó sin excepciones en otros cuatro sistemas operativos: webOS de LG, Google TV en los televisores de Sony, Fire TV OS de Amazon y VIDAA.
VIDAA envía datos sin cifrar y sin pedir autenticación
El caso de VIDAA fue distinto: aunque el apagado del rastreo sí detiene el envío, cuando el ACR está activo manda la información sin cifrar, por el protocolo MQTT, a servidores operados por la empresa Unruly.
Esos mensajes incluyen un identificador permanente del televisor, el huso horario, el nombre de la aplicación en uso, el tipo de entrada, el canal de antena y una huella de audio.
Los investigadores detectaron que un servidor de VIDAA exponía más de 57 millones de resultados de reconocimiento de contenido provenientes de más de un millón de televisores, accesible sin necesidad de iniciar sesión. Tras ser notificada, la empresa exigió autenticación para acceder a ese servidor, aunque las transmisiones siguen sin cifrarse.
Para que los usuarios puedan reducir este tipo de rastreo, los autores del estudio publicaron una lista de dominios y direcciones de red que pueden bloquearse sin afectar la calidad de la imagen, disponible en el sitio del proyecto junto con el código usado en las pruebas.
