Uma equipa da Northeastern University, nos EUA, testou 12 televisores inteligentes e concluiu que em alguns casos desligar a função de reconhecimento automático de conteúdos (ACR) não chega para parar o tráfego de rastreio. Segundo os autores, a opção de recusa anunciada pelos fabricantes só elimina por completo o tráfego atribuível ao ACR em quatro sistemas operativos. Nos televisores Samsung com Tizen, o tráfego compatível com ACR mantém-se em mais de 60% dos cenários avaliados. No Vizio SmartCast, um endpoint alojado no Amazon Kinesis continua a receber tráfego em 100% dos cenários com a função desligada. O estudo encontrou também um servidor sem autenticação, ligado ao ecossistema VIDAA, que expôs dezenas de milhões de registos de visualização.
Resposta rápida: O estudo testou televisores à venda nos EUA. Nos modelos Samsung (Tizen) e Vizio, o tráfego compatível com o reconhecimento automático de conteúdos (ACR) continuou depois de a função ser desligada. Como esse tráfego está cifrado, os investigadores não conseguem provar que contém dados do que se está a ver. Mesmo assim, vale a pena desligar o ACR nas definições de privacidade, pensar em bloquear os endpoints ao nível da rede ou usar um dispositivo de streaming externo e, se não precisar das funções online, desligar o televisor da Internet.
O que é o ACR e porque é que preocupa
O ACR (Automatic Content Recognition) vem integrado no sistema operativo do televisor. A cada poucos instantes, o aparelho tira uma “impressão digital” do que aparece no ecrã, seja uma amostra de áudio ou de imagem, e envia-a para servidores remotos, onde é comparada com bibliotecas de referência para identificar o programa ou o anúncio. Os investigadores dizem que o ACR é um risco particular para a privacidade, porque permite aos fornecedores e aos seus parceiros conhecer hábitos de visualização privados e sensíveis e rentabilizá-los através de publicidade direcionada ou da partilha com terceiros.
Ao contrário da telemetria de uma aplicação, o ACR consegue ver conteúdos de várias fontes: emissões por antena, consolas e boxes ligadas por HDMI e até o ecrã de um telemóvel espelhado no televisor. Num estudo de 2024 sobre televisores Samsung e LG no Reino Unido e nos EUA, investigadores da UCL já tinham mostrado que o ACR captura o ecrã muitas vezes por segundo, incluindo quando o conteúdo vem de um dispositivo externo como um portátil. Nessa altura, porém, a recusa travava o tráfego de rede do ACR. O novo trabalho chega a uma conclusão diferente.
Como foi feito o estudo
O artigo científico chama-se “Watching the Watchers: Privacy Analysis of U.S. Smart TV Automatic Content Recognition” e é assinado por Ilgar Mammadov, Het Rutul Joshi, Daniel J. Dubois e David Choffnes, com publicação prevista nos Proceedings of Privacy Enhancing Technologies Symposium de 2027. A equipa analisou oito sistemas operativos, que representam cerca de 95% do mercado norte-americano, em 12 televisores. Correu 10 cenários de visualização por aparelho, com o ACR ligado e desligado, num total de 5943 experiências automatizadas.
A metodologia tem dois critérios principais. Com o ACR ativo, um cenário era considerado rastreado quando o televisor enviava tráfego regular para o seu endpoint ACR em mais de 80% das 30 execuções. Com a função desligada, pequenos volumes de tráfego de fundo, abaixo de 5% do volume registado com o ACR ligado, foram postos de parte, e tudo o que passasse esse limite foi assinalado como tráfego compatível com ACR.
| Sistema operativo | Quota nos EUA (segundo o estudo) | Televisores testados |
|---|---|---|
| Tizen OS | 34% | Samsung |
| Roku OS | 18% | Roku, TCL |
| webOS | 15% | LG |
| SmartCast OS | 11% | Vizio |
| Google TV | 8% | Sony (2), Hisense, TCL |
| Fire TV OS | 5% | Amazon Fire |
| Outros (VIDAA, Xumo) | 4% | Supersonic, Westinghouse |
O que o ACR vigia quando está ligado
O padrão foi muito consistente. As emissões por antena foram rastreadas em todos os sistemas operativos que foi possível analisar, mas nenhum televisor rastreou a Netflix. O HDMI foi rastreado em cinco dos sete sistemas, com exceção do Roku OS e do SmartCast OS, e o espelhamento de ecrã só no VIDAA OS. O SmartCast da Vizio enviou tráfego com padrão de ACR em todas as execuções, mesmo com o televisor parado no ecrã inicial.
Desligar nem sempre desliga: os resultados por sistema
A recusa funcionou por completo em quatro plataformas: webOS, Google TV da Sony, Fire OS e VIDAA. A Samsung foi o caso mais complicado. Com a função desligada, o tráfego compatível com ACR continuou em 41 de 60 execuções com antena, 18 de 30 com HDMI e 6 de 30 com a aplicação Tubi. Também apareceu em algumas execuções em repouso, na Netflix e no YouTube, apesar de estes cenários não serem rastreados com o ACR ligado. No serviço de streaming da própria Samsung, o tráfego manteve-se nas 30 execuções.
| Plataforma | Efeito da recusa (opt-out) |
|---|---|
| LG webOS | Eficaz |
| Sony Google TV | Eficaz |
| Amazon Fire TV | Eficaz |
| VIDAA OS | Eficaz (mas tráfego ACR sem cifra quando ativo) |
| Samsung Tizen | Tráfego compatível com ACR em mais de 60% dos cenários |
| Vizio SmartCast | Sem redução observável para o endpoint no Amazon Kinesis |
| Roku OS | Não abrange o serviço de streaming próprio da Roku |
Os autores tomam uma cautela importante. Como a maior parte do tráfego ACR está cifrado, os resultados resultam do comportamento do tráfego e não da leitura do seu conteúdo. Não é possível confirmar o que os dados contêm, nem se são processados ou guardados nos servidores das empresas. Por isso, o estudo não prova que a Samsung ou a Vizio tenham continuado a registar históricos de visualização. Mostra um comportamento de rede que justifica esclarecimentos. Até à data desta publicação, não encontrámos uma resposta pública de nenhum dos dois fabricantes ao estudo. A Samsung diz na sua página de apoio que não grava nem vê o conteúdo apresentado no televisor e indica as definições para recusar a função.
VIDAA: 57 milhões de deteções expostas
O problema de segurança mais concreto não envolve a Samsung. Os investigadores observaram que o VIDAA enviava mensagens ACR por MQTT sem cifra, expondo identificadores de dispositivo, nomes de aplicações, fontes de entrada e impressões digitais de áudio. Encontraram também um broker MQTT sem autenticação que, numa amostra de três horas limitada por critérios éticos, expôs 57 milhões de resultados de deteção ACR de mais de um milhão de televisores únicos. A falha foi reportada e corrigida. Segundo o artigo completo, o broker pertencia ao parceiro de ACR Unruly, e os dados estavam classificados em categorias como religião, política e saúde. Depois do aviso, o servidor passou a exigir autenticação, mas os investigadores dizem que as mensagens continuam sem cifra.
Há ainda uma fuga que não depende das definições de ACR. No serviço gratuito WatchFree+, da Vizio, os nomes de programas e canais aparecem legíveis nos nomes de rede expostos em pedidos DNS e no campo SNI do TLS, o que pode revelar escolhas de visualização a quem observe a rede, mesmo com o ACR desligado.
O que pode fazer: passos concretos
Com base no estudo, há várias medidas para reduzir a exposição:
- Desligue o ACR mesmo assim. Em quatro plataformas a recusa funcionou por completo. Na Samsung, a opção chama-se
Viewing Information Services, na LGLive Pluse na VizioViewing Data. O nome em português pode variar. Cinco dos oito sistemas evitam o termo “Automatic Content Recognition”, o que torna a opção difícil de encontrar. - Bloqueie os endpoints na rede. Os investigadores publicaram no repositório do projeto uma blocklist de endpoints ACR que pode ser usada num filtro DNS ou no router. A lista foi pensada para travar as comunicações de rastreio sem afetar a visualização, mas não impede a fuga do WatchFree+.
- Use um dispositivo externo ou desligue o televisor da Internet. Outras opções são desligar o televisor da Internet ou usar dispositivos de streaming externos que não façam ACR.
- Isole o televisor. Em casa e sobretudo nas empresas, coloque televisores inteligentes numa rede separada (VLAN ou rede de convidados), longe de computadores e servidores.
Porque é que isto importa em Portugal
O estudo testou apenas aparelhos e serviços para o mercado norte-americano, e não se deve assumir que os resultados se repetem na Europa. O trabalho de 2024 concluiu que os televisores no Reino Unido e nos EUA contactam domínios ACR diferentes e que, ao contrário do Reino Unido, nos EUA o ACR está ativo mesmo durante o streaming na aplicação da plataforma. A Vizio vende sobretudo nos EUA. Já a Samsung tem forte presença em Portugal, e o VIDAA está em televisores comercializados no mercado europeu.
Na União Europeia, os dados de visualização ligados a um identificador do aparelho são dados pessoais à luz do RGPD. Quando revelam convicções religiosas, opiniões políticas ou informação de saúde, podem tocar em categorias especiais de dados. A legislação de privacidade nas comunicações eletrónicas também exige consentimento para aceder a informação guardada no equipamento do utilizador. Se uma opção de recusa não funcionar como anunciado, pode estar em causa a validade desse consentimento. A CNPD é a autoridade competente para avaliar queixas. Fora da Europa, a pressão regulatória também cresce: no Texas, a Samsung comprometeu-se a deixar de recolher ou processar dados ACR sem consentimento dos consumidores daquele estado.
Para as organizações, o caso lembra que os dispositivos IoT, como televisores em salas de reunião, receções ou espaços comerciais, também fazem parte da superfície de ataque. O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) exige que as entidades abrangidas giram os riscos dos seus ativos e da cadeia de fornecimento, o que inclui inventariar e segmentar equipamentos ligados à rede. O CNCS/CERT.PT recomenda em geral a configuração segura e o isolamento de dispositivos IoT. A exposição de dados do VIDAA mostra ainda o tipo de falha (comunicação sem cifra e servidores sem autenticação) que o Regulamento de Ciber-Resiliência europeu pretende eliminar nos produtos com elementos digitais.
Perguntas frequentes
O estudo prova que a Samsung continua a recolher o que vejo depois de desligar o ACR?
Não. Os investigadores registaram tráfego compatível com ACR depois da recusa, mas como está cifrado não conseguiram confirmar o seu conteúdo nem se os dados são guardados. O estudo mostra um padrão de rede que justifica esclarecimentos, não uma prova de recolha.
Os resultados aplicam-se aos televisores vendidos em Portugal?
Não necessariamente. Foram testados aparelhos e serviços do mercado norte-americano, e um estudo anterior mostrou que o ACR se comporta de forma diferente consoante a região. Mesmo assim, as medidas de proteção recomendadas também fazem sentido em Portugal.
Vale a pena desligar o ACR na minha smart TV?
Sim. Em quatro das plataformas testadas a recusa travou totalmente o tráfego ACR, e nas restantes reduziu-o em parte dos cenários. Para mais proteção, junte-lhe o bloqueio dos endpoints na rede, um dispositivo de streaming externo ou desligue o televisor da Internet.
Que problema foi encontrado no VIDAA?
O VIDAA enviava dados ACR sem cifra, e um servidor MQTT do parceiro Unruly não tinha autenticação. Numa amostra de três horas, ficaram expostos 57 milhões de resultados de deteção de mais de um milhão de televisores. O servidor passou a exigir autenticação, mas as mensagens continuam sem cifra.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelos investigadores da Northeastern University (página do projeto, artigo científico e repositório de artefactos), pela UCL e pelo estudo de 2024 publicado no arXiv.