Uma investigação técnica divulgada no início de setembro de 2026 colocou as televisões inteligentes da LG no centro de um debate sobre vigilância doméstica. O trabalho, conduzido pelo canal Gamers Nexus em conjunto com o Level1Techs e investigadores de segurança independentes, descreve televisores que varrem a rede local à procura de outros equipamentos, recolhem informação sobre redes Wi-Fi vizinhas, geram impressões digitais do conteúdo apresentado no ecrã e registam comandos de voz em texto simples. A LG rejeita o essencial das acusações, afirmando publicamente que os seus televisores não gravam conversas ambiente. Entre as duas versões há factos confirmados, outros contestados e um conjunto de vulnerabilidades ainda em divulgação responsável.
Resposta rápida: Investigadores independentes analisaram televisores LG OLED de retalho com capturas de pacotes e análise de firmware e descrevem varrimentos da rede doméstica, recolha de dados de localização a partir de redes Wi-Fi próximas e reconhecimento automático de conteúdo que funciona mesmo com o televisor usado como ecrã por HDMI. A LG nega que os seus aparelhos gravem conversas ambiente e diz que o varrimento de rede é uma função normal de qualquer smart TV. Quem tem um televisor ligado à Internet deve rever as definições de privacidade (ACR, publicidade personalizada e reconhecimento de voz), manter o firmware atualizado e ponderar isolar a TV numa rede separada.
O que foi testado e por quem
A investigação foi publicada pelo Gamers Nexus com cerca de duas horas e quinze minutos de duração, sob o título «216,000,000 Spy TVs, The LG Smart TV Problem», e foi produzida pelo editor Steve Burke com Wendell Wilson, do Level1Techs, e dois investigadores independentes conhecidos como MrBruh e uturn, que testaram televisores LG OLED de retalho, incluindo o modelo de topo G5, com capturas de pacotes em Wireshark e análise de firmware. A Tom’s Hardware, que divulgou a resposta da marca, sublinhou não ter verificado de forma independente nem as conclusões do Gamers Nexus nem as contra-alegações da LG.
Este é um ponto essencial para leitura crítica da notícia: trata-se de investigação independente divulgada em vídeo, não de um relatório revisto por pares nem de um aviso de segurança oficial. Ainda assim, várias das conclusões são consistentes com trabalho académico anterior e com ações de reguladores nos Estados Unidos.
O televisor como sensor de rede
Recorrendo ao Wireshark, a equipa observou os televisores a efetuar varrimentos da rede local; num dos testes, um televisor LG identificou 38 outros equipamentos, incluindo smartphones de colaboradores que desconheciam a experiência, relógios inteligentes, uma impressora 3D, um purificador de ar, termóstatos e uma placa de desenvolvimento. Além de endereços IP internos, os aparelhos terão recolhido os nomes e a intensidade de sinal das redes Wi-Fi vizinhas, juntamente com dados de localização, alimentando a divisão de publicidade da marca, a LG Ad Solutions.
A relevância deste ponto é técnica e simples: uma lista de pontos de acesso Wi-Fi próximos e respetivos identificadores funciona, na prática, como um sistema de geolocalização sem GPS, uma vez que existem bases de dados públicas que associam pontos de acesso a coordenadas. Informação sobre redes Wi-Fi circundantes pode ser usada para ajudar a determinar a localização física de um dispositivo, notou um dos investigadores.
ACR: a impressão digital do que vê no ecrã
O ACR (Automatic Content Recognition) não é exclusivo da LG nem é novidade. A tecnologia recolhe amostras do áudio e do vídeo no ecrã, transforma-as em impressões digitais e regista o que é visto em todas as entradas. Segundo a investigação, o televisor de teste enviava cerca de 4 GB de dados relacionados com ACR por mês para a LG. De acordo com o relato do TechSpot citado na cobertura especializada, o seguimento por ACR nos aparelhos testados estendia-se a conteúdos reproduzidos por HDMI, USB, RJ45, ótica, RCA e coaxial, e não apenas às aplicações de streaming.
Há suporte académico para parte destas observações. Um estudo revisto por pares publicado na ACM Internet Measurement Conference de 2024 concluiu que televisores LG captam dados do ecrã a cada 15 segundos e que os equipamentos Samsung transmitem dados a cada minuto. Esse trabalho, realizado nos Estados Unidos e no Reino Unido, verificou que o ACR podia funcionar com os televisores a servir de ecrã externo por HDMI, mas também constatou que a recusa da funcionalidade fazia cessar a comunicação com os domínios de ACR identificados nos aparelhos testados.
Microfone em standby: a alegação mais contestada
Os investigadores relataram que o microfone permanecia ativo entre 10 e 15 segundos após terminar um comando de voz e que a fala captada nessas interações era transcrita e guardada em texto simples nos registos do televisor, ficheiros que recuperaram depois de obterem acesso privilegiado a uma unidade de teste. Captaram ainda áudio do microfone com o aparelho aparentemente desligado em standby e demonstraram que o televisor guardava áudio localmente após desligarem o cabo Ethernet, enviando-o assim que a ligação era reposta.
Aqui impõe-se rigor. A própria investigação distingue as demonstrações de captura de microfone e câmara — que exigiram a exploração de falhas de software e foram comunicadas privadamente à LG sem detalhe público — da recolha de dados efetuada pelo televisor tal como é fornecido. O Gamers Nexus indicou ter identificado vulnerabilidades de execução remota de código no webOS que poderiam transformar um televisor afetado num dispositivo de escuta encoberto, mantendo os detalhes reservados enquanto decorre a divulgação responsável, sem identificadores CVE nem correções publicadas até 9 de setembro de 2026.
A resposta da LG
A LG Electronics negou as acusações, afirmando à Tom’s Hardware, a 9 de setembro de 2026, que as alegações do vídeo não são verdadeiras, e confirmou que os seus televisores analisam a rede local à procura de outros dispositivos, descrevendo essa função como padrão numa smart TV. A empresa declarou que os dados de voz só são registados quando o utilizador carrega e mantém premido o botão de voz do comando ou ativa a palavra de ativação «Hi LG», depois de ligar a funcionalidade de reconhecimento de voz à distância, acrescentando que fora dessas situações os televisores não recolhem nem gravam conversas ambiente e que o áudio é imediatamente eliminado se a palavra de ativação não for reconhecida. Sobre a captura offline demonstrada, a LG afirmou que os dados de voz não são guardados para envio posterior quando o televisor está sem ligação nem são transmitidos quando esta é reposta.
A 12 de setembro de 2026 o Gamers Nexus publicou um segundo vídeo, «LG Says We’re Fake News», com novas conclusões sobre geolocalização e uma leitura jurídica dos termos contratuais da marca. O diferendo, portanto, mantém-se em aberto.
Cronologia
| Data | Acontecimento |
|---|---|
| Junho/julho de 2026 | A Spur Intelligence publica investigação sobre SDK de proxies residenciais em aplicações de smart TV |
| Julho de 2026 | A LG Electronics USA anuncia a suspensão de aplicações que transformem televisores em nós de proxy |
| 6 e 7 de setembro de 2026 | Publicação da investigação «216,000,000 Spy TVs» e primeiras análises de segurança |
| 9 de setembro de 2026 | A LG nega publicamente as principais acusações |
| 12 de setembro de 2026 | Novo vídeo com dados adicionais sobre geolocalização e análise dos termos de utilização |
O problema paralelo das aplicações de proxy
Há um risco distinto, e este está bem documentado por uma empresa de threat intelligence. A Spur Intelligence analisou 6038 aplicações das lojas LG webOS e Samsung Tizen e encontrou 2058 com software de proxy residencial; no webOS, 42,5% das aplicações continham esse código. Na Tizen, a percentagem foi de 26,9%, num total conjunto de 34,1%. Os investigadores explicaram que descarregaram e desempacotaram as aplicações reais em vez de confiarem nas descrições das lojas, procurando assinaturas confirmadas de SDK como brd_api.js e serviços brd_sdk da Bright Data, clientes da Massive e ficheiros da Honeygain/Oxylabs. Semanas depois, a LG Electronics USA anunciou que iria suspender aplicações que transformassem o televisor num nó de proxy residencial permanente.
Para uma PME, este cenário é mais preocupante do que a publicidade personalizada: um televisor numa sala de reuniões que encaminhe tráfego de terceiros pela ligação da empresa pode contaminar reputação de IP, gerar alertas de abuso e servir de ponto de apoio dentro da rede interna.
O que fazer, na prática
- Rever o menu de privacidade do televisor e desativar o ACR (na LG, «Live Plus») e a publicidade personalizada.
- Desativar o reconhecimento de voz e a deteção de palavra de ativação se não usar comandos por voz.
- Manter o firmware atualizado, uma vez que estão em curso processos de divulgação responsável de vulnerabilidades.
- Não instalar aplicações desconhecidas, sobretudo jogos simples, protetores de ecrã e relógios sem editor reconhecível.
- Colocar televisores e outros dispositivos IoT numa VLAN ou rede de convidados separada da rede de trabalho.
- A mitigação considerada plenamente eficaz pela equipa de investigação é manter o televisor permanentemente fora da rede e usar um dispositivo externo de streaming, transformando o aparelho num simples ecrã.
Porque é que isto importa em Portugal
Em território nacional aplica-se o RGPD, e não as regras norte-americanas que enquadram a maioria dos processos referidos na investigação. Isso significa que o tratamento de dados de visualização, de voz ou de localização por um fabricante exige uma base legal válida e informação clara, com a CNPD como autoridade competente para receber queixas de titulares em Portugal. Elementos como identificadores de pontos de acesso Wi-Fi, listas de equipamentos numa habitação ou transcrições de comandos de voz são, em regra, dados pessoais quando permitem singularizar um agregado familiar.
Para organizações, o ângulo é o da superfície de ataque. Com o Regime Jurídico da Ciberseguranca, que transpõe a diretiva NIS2, aprovado pelo Decreto-Lei n.º 125/2025, as entidades abrangidas têm de gerir riscos, incluindo os que decorrem de equipamento aparentemente inofensivo instalado em salas de reunião, receções ou espaços de atendimento. Um televisor ligado à rede corporativa é um computador com microfone, loja de aplicações e acesso ao mesmo segmento onde estão portáteis, impressoras e servidores. O CNCS e o CERT.PT recomendam há muito a segmentação de redes e o inventário de ativos, e este caso é um bom argumento para incluir dispositivos de sala no inventário.
Para os cidadãos, a conclusão prudente não é o pânico. É reconhecer que a televisão deixou de ser um eletrodoméstico passivo e passou a merecer o mesmo cuidado de configuração que um telemóvel. Como sublinhou a Malwarebytes na sua análise, a lição de fundo é que uma smart TV merece a mesma consideração de privacidade e segurança que qualquer outro computador ligado à Internet.
Perguntas frequentes
A minha TV LG está a gravar as minhas conversas?
A LG nega expressamente que isso aconteça e afirma que os dados de voz só são processados com o botão do comando premido ou após a palavra de ativação, com a funcionalidade previamente ligada pelo utilizador. Os investigadores descrevem cenários de captura em standby, mas as demonstrações mais graves envolveram a exploração prévia de falhas de software num aparelho de teste. Não há, até ao momento, uma verificação independente que feche a discussão.
Desligar a TV da Internet resolve o problema?
É a medida mais eficaz apontada pela equipa de investigação, que recomenda manter o televisor fora da rede e usar um dispositivo externo de streaming. A LG, por seu lado, afirma que não guarda dados de voz para envio posterior quando o aparelho está offline. Em qualquer caso, um televisor sem ligação não pode enviar telemetria.
O que é o ACR e como o desativo?
O ACR identifica o conteúdo apresentado no ecrã através de impressões digitais de áudio e vídeo, incluindo conteúdos que chegam por HDMI. Nos televisores LG a funcionalidade é normalmente designada Live Plus e encontra-se no menu de definições de privacidade, onde também costuma existir a opção de publicidade personalizada. Desativar ambas reduz significativamente a recolha para fins publicitários.
Existem vulnerabilidades com CVE atribuído neste caso?
Não, pelo menos até 9 de setembro de 2026 não tinham sido publicados identificadores CVE nem correções associados às falhas de execução remota de código descritas, que se encontram em processo de divulgação responsável junto do fabricante. A recomendação prática é manter o firmware atualizado e acompanhar os avisos oficiais.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por Gamers Nexus, Level1Techs, Spur Intelligence, investigadores de segurança independentes e declarações públicas da LG Electronics.