A LG veio a público rejeitar as conclusões de uma investigação independente que acusa os seus televisores inteligentes de recolher dados de forma contínua e de captar áudio ambiente sem conhecimento dos utilizadores. Em declaração enviada ao Tom’s Hardware, a fabricante afirmou que as alegações feitas no vídeo publicado recentemente “não são verdadeiras”. Ainda assim, a empresa confirmou que os seus televisores fazem varrimento da rede local à procura de outros dispositivos, funcionalidade que descreve como comum em Smart TVs e equipamentos multimédia. Em cima da mesa está bem mais do que uma polémica de consumo: os investigadores dizem ter encontrado também vulnerabilidades de execução remota de código no webOS que poderiam transformar um televisor afetado num dispositivo de escuta.
Resposta rápida: Uma investigação do canal Gamers Nexus, feita com a Level1Techs e com investigadores independentes, alega que televisores LG mapeiam a rede doméstica, aplicam reconhecimento automático de conteúdos e podem captar áudio em standby. A LG nega gravar conversas ambiente, diz que o processamento da palavra de ativação é local e que o ACR depende de consentimento, mas admite o varrimento da rede local. Nenhuma das partes foi verificada de forma independente até ao momento. Enquanto isso, reveja as definições de privacidade e voz do seu televisor, mantenha o firmware atualizado e considere isolar a TV numa rede dedicada a dispositivos IoT.
O que a investigação alega ter encontrado
O trabalho foi conduzido pelo Gamers Nexus em conjunto com os investigadores de segurança MrBruh e uturn e com Wendell Wilson, da Level1Techs, incidindo sobre televisores LG comprados no retalho e sobre o software webOS, com os resultados apresentados num vídeo de cerca de 135 minutos no YouTube. A metodologia incluiu captura de pacotes e análise de firmware.
Recorrendo ao Wireshark, a equipa afirma ter observado os televisores a realizar varrimentos da rede local; num dos testes, um televisor LG terá identificado 38 outros dispositivos, incluindo smartphones, relógios inteligentes, uma impressora 3D, um purificador de ar, termóstatos e uma placa de desenvolvimento. A investigação refere ainda a recolha de nomes de redes Wi-Fi próximas, informação de sinal e identificadores associados aos dispositivos. Segundo o Gamers Nexus, grande parte desta descoberta de rede estaria integrada no produto e não resultaria de uma vulnerabilidade, tendo o televisor de teste enviado cerca de 4 GB de dados relacionados com ACR por mês para a LG.
A alegação mais grave prende-se com o microfone. De acordo com a investigação, os testes mostraram que microfones de determinados televisores OLED da marca conseguiam captar áudio com o ecrã em standby, e que esse áudio poderia ficar armazenado localmente enquanto o aparelho estava sem Internet, sendo transmitido depois de recuperada a ligação. Importa, porém, uma nota de cautela metodológica: parte das demonstrações mais graves envolveu um televisor comprometido ou código controlado pelos investigadores, pelo que é mais rigoroso dizer que os testes evidenciaram uma capacidade e um risco de segurança do que afirmar que todos os televisores LG gravam conversas permanentemente.
A resposta da LG, ponto por ponto
Na declaração enviada ao Tom’s Hardware, a LG sustenta que os seus televisores processam dados de voz apenas quando o botão de voz do comando é premido e mantido, ou quando uma palavra de ativação como “Hi LG” é reconhecida depois de o utilizador ter ativado a funcionalidade correspondente. A empresa confirmou que os televisores monitorizam a palavra de ativação em standby, mas diz que, se esta não for detetada, o áudio é apenas processado localmente e depois eliminado.
Quanto ao reconhecimento automático de conteúdos, a LG descreve o ACR como uma funcionalidade de adesão voluntária, usada para recomendações personalizadas, serviços e publicidade, e afirma que, por definição, os dados de ACR não são usados para fins publicitários sem consentimento. Segundo a empresa, o reconhecimento de voz, o ACR e a publicidade baseada em interesses exigem consentimentos separados e podem ser desativados nas definições do televisor.
Ficam, no entanto, pontos em aberto. A LG não respondeu a algumas das restantes alegações e vulnerabilidades apontadas no vídeo, como o armazenamento de transcrições em texto simples, e o Tom’s Hardware sublinha que não verificou de forma independente nem as afirmações do Gamers Nexus nem a contestação da LG. Sobre as falhas de execução remota de código, os investigadores indicam ter reportado o problema à LG e estar a dar à empresa uma janela para corrigir antes de publicarem os detalhes técnicos — o que significa que, à data, não há CVE público nem indicação oficial de versões corrigidas.
Cronologia: da falha de 2023 ao braço de ferro de 2026
| Data | Acontecimento |
|---|---|
| Novembro de 2023 | A Bitdefender reporta à LG vulnerabilidades no webOS |
| 22 de março de 2024 | A LG publica atualizações que corrigem as falhas (CVE-2023-6317 a CVE-2023-6320) |
| 15 de dezembro de 2025 | O procurador-geral do Texas processa Samsung, LG, Sony, Hisense e TCL por uso de ACR sem consentimento adequado |
| 11 de maio de 2026 | Acordo com a LG: deixa de usar ACR para recolher dados de visionamento sem consentimento informado |
| 6-7 de setembro de 2026 | Publicação do vídeo de investigação do Gamers Nexus com a Level1Techs e investigadores independentes |
| 8-9 de setembro de 2026 | A LG nega publicamente as principais alegações de privacidade e vigilância |
O historial técnico ajuda a perceber por que razão o tema é levado a sério pela comunidade de segurança. A cadeia divulgada em 2024 incluía CVE-2023-6317, um contorno de PIN com CVSS 7.2, e três falhas de injeção de comandos com CVSS 9.1 — CVE-2023-6318, CVE-2023-6319 e CVE-2023-6320, esta última permitindo executar comandos como dbus, com permissões semelhantes às de root. As falhas foram confirmadas em versões do webOS entre 4.9.7 e 7.3.1-43, em modelos como o LG43UM7000PLA, OLED55CXPUA, OLED48C1PUB e OLED55A23LA. Apesar de o serviço vulnerável se destinar apenas à rede local, o Shodan identificou na altura mais de 91 000 dispositivos a expô-lo à Internet.
O que pode fazer hoje na sua TV
- Instalar as atualizações de firmware e rever, nas definições, as secções de privacidade, termos e acordos de utilizador, desativando ACR, recolha de informação de visionamento, publicidade personalizada e funcionalidades de voz que não use.
- Se não usa comandos de voz, confirmar se o reconhecimento de voz e a funcionalidade “Far-Field” estão ativos.
- Colocar o televisor numa rede separada (rede de convidados ou dedicada a IoT), para que um aparelho comprometido tenha menos acesso a telemóveis, portáteis e domótica.
- A mitigação considerada totalmente eficaz pela equipa de investigação passa por manter o televisor permanentemente fora da rede e usar um dispositivo de streaming externo para as funções inteligentes, deixando a TV como mero ecrã.
- Ter em conta que as designações e menus variam consoante o modelo e a versão do webOS, pelo que convém confirmar as definições específicas do equipamento.
Porque é que isto importa em Portugal
Em território europeu, qualquer tratamento de dados pessoais associado a televisores ligados à Internet — historial de visionamento, identificadores de dispositivos, endereços na rede doméstica ou dados de voz — está sujeito ao RGPD, que exige base legal válida, informação clara e, no caso de finalidades publicitárias, consentimento livre, específico e inequívoco. Não é irrelevante que a própria LG afirme que ACR, reconhecimento de voz e publicidade por interesses exigem consentimentos distintos e desativáveis: essa é precisamente a arquitetura que o regulador europeu espera ver implementada por defeito, e não escondida em ecrãs de configuração inicial. A autoridade competente em Portugal é a CNPD, junto de quem qualquer titular pode apresentar queixa.
Há também uma leitura organizacional. Um televisor numa sala de reuniões, num hotel, num consultório ou num espaço de atendimento é um computador ligado à rede corporativa, com microfone, entradas HDMI e capacidade de enumerar dispositivos vizinhos. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), este tipo de equipamento entra no perímetro da gestão de risco: inventário de ativos, segmentação de rede, gestão de vulnerabilidades e controlo da cadeia de fornecimento. O CNCS e o CERT.PT recomendam há muito a segmentação de dispositivos IoT e a atualização sistemática de firmware, princípios que se aplicam integralmente a Smart TVs. A prazo, o Regulamento (UE) 2024/2847 — o Cyber Resilience Act — virá reforçar as obrigações de segurança dos produtos com elementos digitais colocados no mercado europeu, incluindo eletrónica de consumo ligada.
Por fim, convém não personalizar em excesso o problema. A recolha de telemetria, a publicidade dirigida e o reconhecimento automático de conteúdos fazem parte do modelo de negócio de boa parte da indústria de Smart TVs, com sistemas semelhantes presentes em equipamentos de vários fabricantes. Aliás, a ação do Texas visou cinco fabricantes em simultâneo. A discussão aberta pelo caso LG é, no fundo, sobre transparência: o que é que o consumidor sabe, e consente, quando liga um ecrã à sua rede doméstica.
Perguntas frequentes
A minha TV LG está a gravar as minhas conversas?
Não há confirmação independente disso. A LG rejeita a alegação central de que os seus televisores gravam rotineiramente conversas domésticas e diz que processam dados de voz apenas quando o botão de voz do comando é usado ou quando é reconhecida a palavra de ativação. A investigação demonstrou capacidade técnica e risco, parte dela em cenários com o televisor comprometido.
O que é o ACR e como o desativo?
O Automatic Content Recognition identifica o conteúdo exibido no ecrã e é usado para estatísticas de audiência, recomendações e publicidade dirigida, existindo em televisores de vários fabricantes. Deve ser procurado nas definições de privacidade, termos ou acordos de utilizador, juntamente com as opções de recolha de informação de visionamento e publicidade personalizada.
Há alguma vulnerabilidade com CVE atribuído neste caso?
Não publicamente, até ao momento. Os investigadores dizem ter identificado falhas de execução remota de código no webOS, mas os detalhes estão a ser retidos enquanto decorre a divulgação responsável. As falhas anteriores conhecidas, CVE-2023-6317 a CVE-2023-6320, foram corrigidas em 2024.
Faz sentido pôr a televisão numa rede separada?
Sim. Colocar o televisor numa rede de convidados ou dedicada a IoT reduz o acesso de um aparelho comprometido a telemóveis, portáteis e outros equipamentos. Para utilizadores mais avançados, uma VLAN ou rede Wi-Fi dedicada acrescenta uma camada extra de segurança.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela LG Electronics, pela equipa de investigação do Gamers Nexus, Level1Techs e investigadores independentes, pela Bitdefender e pelo Gabinete do Procurador-Geral do Texas.