Creíamos que el problema de las Smart TV era que sabían qué estábamos viendo. En LG eso es solo el principio [Actualizada: qué dice la empresa]

• Gamers Nexus y varios investigadores de seguridad han analizado Smart TVs de LG y han encontrado potenciales amenazaas a la privacidad
• Hay tanto reconocimiento del contenido que se meustra como escaneo de dispositivos de la red doméstica
• Pero además se han descubierto vulnerabilidades que convierten la TV en un dispositivo de escucha

Las Smart TV llevan años monitorizando lo que vemos en ellas. Tecnologías como ACR (Automatic Content Recognition) son capaces de «detectar» qué contenido aparece en pantalla para construir perfiles publicitarios, pero un nuevo estudio ha ido más allá al analizar las TVs de LG. La investigación de Gamers Nexus y de Level1Techs junto a expertos en ciberseguridad ha revelado hasta donde pueden llegar esas capacidades de recolección de datos, y hay un problema especialmente delicado.

Un «Shazam para la tele». ACR es un viejo conocido de los TVs de los últimos años. Esta tecnología toma muestras del audio o vídeo que se muestra en pantalla, genera una huella digital, como una captura, y la compara con una base de datos. No hace ni siquiera falta que usemos las apps de webOS: un estudio anterior de UCL, UC Davis y la Universidad Carlos III ya demostró en 2024 que los televisores de LG y Samsung podían reconocer contenido de dispositivos conectados por HDMI. En las pruebas más recientes de Rtings con una LG G5, el tráfico relacionado con ACR aumentó al conectar una PS5 o al navegar desde un portátil. Hay una buena noticia aquí: ACR sí detiene ese tráfico.



La TV también mira a su alrededor. Al analizar con la conocida herramienta Wireshark el tráfico generado por varios televisores de LG, los investigadores detectaron que estos hacían búsquedas en la red local para encontrar dispositivos que no tenían relación directa con ellos, incluidos móviles y smartwatches. Entre los datos recolectados están IPs internas, nombres e intensidad de las señales Wi-Fi cercanas y datos de ubicación.

216 millones de TVs, 363 millones de dispositivos. Gamers Nexus mostró también datos de la plataforma publicitaria de LG, LG Ad Solutions. Según ellos, hay unos 216 millones de Smart TVs vendidos globalmente, pero esa plataforma llega en realidad a 363 millones de «direcciones accesibles» solo en EEUU. Los responsables de LG, destacan en el vídeo, utilizan la expresión «own the glass«, «poseer el cristal».

Cuidado con el micrófono. La parte más inquietante de la investigación es la que reveló cómo se descubrieron vulnerabilidades de ejecución remota de código en webOS que pueden ser potencialmente peligrosos. Esa información forma parte de un documento de «divulgación responsable» de vulnerabilidades y LG ya está trabajando sobre este problema. Gracias a esa vulnerabilidad un ciberatacante puede obtener audio limpio del micrófono incluso si la pantalla parece apagada y la TV está en standby.

Incluso si está sin red. Es incluso posible almacenar esos audios de forma interna si no hay conectividad Ethernet o Wi-Fi en ese momento para luego recuperarla. Esto no significa, cuidado, que LG esté grabando secretamente las conversaciones de sus clientes mientras la tele está apagada, sino que ese agujero de seguridad puede convertir la TV en un dispositivo de escucha que un atacante puede aprovechar si explota la vulnerabilidad.

Esto no son teles, son mucho más. La caja tonta del pasado no tiene mucho que ver con las modernas Smart TV que cuentan con un procesador, sistemas operativos, aplicaciones, conectividad permanente, micrófonos y servicios en segundo plano. Todas las funciones que ofrecen estos dispositivos pueden ser muy útiles, pero al mismo tiempo son capaces de recolectar una gran cantidad de datos y también de convertirse en un punto de entrada para ciberatacantes. Para Gamers Nexus la solución obvia es desconectar la Smart TV de internet y usar algún reproductor externo.

Pero ni por esas. Incluso si usamos esos dispositivos externos, como un Apple TV, una consola o un ordenador por HDMI no evitamos que ACR pueda reconocer lo mostrado en la TV si esta sigue conectada. Es conveniente aquí hacer un repaso de los controles y configuración de privacidad disponible en las Smart TV para evitar o al menos reducir al máximo esa recolección de datos y detener por ejemplo el tráfico ACR.

Compras algo que no controlas. La terrible ironía, sea como fuere, vuelve a hacerse patente en esa frase de «own the glass»: nosotros compramos «el cristal» —la pantalla— y creemos ser propietarios y tener el control de ella, pero en realidad las ventajas que nos plantean estas plataformas digitales nos pueden exponer y, desde luego, limitan notablemente el control real que tenemos sobre el dispositivo.

Qué dice LG. Los responsables de LG tienen el siguiente comunicado al respecto:

«Las afirmaciones realizadas en el vídeo publicado por Gamers Nexus recientemente no son correctas. Los televisores LG procesan datos de voz únicamente cuando se mantiene pulsado el botón de voz del mando a distancia o cuando se reconoce una palabra de activación, como «Hi LG», después de que el usuario haya activado la función de reconocimiento de voz de campo lejano (Far-Field Voice Recognition). Al margen de estos casos, los televisores no recogen ni graban conversaciones ambientales. Si no se reconoce la palabra de activación, no se transmiten datos de voz al servidor; el procesamiento de audio para detectar la palabra de activación se realiza localmente en el dispositivo y se elimina de forma inmediata.

Haz clic para expandir...

Además, para ofrecer funcionalidades propias de una Smart TV, los televisores LG cuentan con la capacidad de detectar y conectarse a dispositivos cercanos que se encuentren en la misma red. Se trata de una función estándar que suelen ofrecer los Smart TV y los dispositivos para el hogar conectado. La función ACR (Reconocimiento Automático de Contenidos) se ofrece de forma opcional bajo consentimiento expreso para proporcionar recomendaciones de contenido, servicios y anuncios personalizados. Si el usuario no da su consentimiento, los datos de ACR no se utilizan con fines publicitarios.

Haz clic para expandir...

La seguridad de los datos es una prioridad para LG, razón por la cual se compromete a ofrecer transparencia y garantiza que los usuarios puedan elegir sus preferencias de privacidad, así como identifica vulnerabilidades y ofrece las actualizaciones de seguridad correspondientes”.

Haz clic para expandir...

Fuente


En este vídeo, el equipo de Gamers Nexus desmonta la respuesta de LG a su anterior investigación sobre la recopilación de datos y las vulnerabilidades de seguridad en los Smart TV de LG. El equipo sostiene que la respuesta de LG es engañosa, carece de pruebas y utiliza un lenguaje manipulador para evitar abordar sus conclusiones.

Puntos clave:

• Propiedad y recopilación de datos: El abogado Vincent Agosta se une al debate para analizar las condiciones de LG. Confirma que, aunque los consumidores son propietarios del televisor físico, LG se reserva amplios derechos para supervisar, grabar y vender datos sobre lo que se muestra en la pantalla, incluido el contenido de los dispositivos conectados.
• Preocupaciones sobre seguridad y privacidad: El vídeo demuestra que las afirmaciones de LG sobre no recopilar ni almacenar "conversaciones ambientales" son engañosas, especialmente teniendo en cuenta las vulnerabilidades de seguridad existentes que siguen sin parchar. El equipo informa de que LG ha eliminado discretamente la palabra "almacenar" de sus declaraciones de privacidad actualizadas.
• Nuevos hallazgos: El investigador de seguridad U-Turn comparte nuevos datos que muestran que los televisores inteligentes de LG utilizan huellas de audio y escaneo de Wi-Fi para recopilar información precisa de geolocalización, incluso cuando el televisor se utiliza como un monitor "pasivo" a través de HDMI.
• Prácticas engañosas: El equipo destaca varias "prácticas engañosas" en la interfaz de LG, como los confusos menús de consentimiento y la activación automática de funciones de seguimiento, que, según ellos, contradicen las afirmaciones de transparencia de LG.
• La defensa de "fake news": El vídeo critica a LG por desestimar el informe calificándolo de "fake news" sin aportar ninguna prueba que lo desmienta, al tiempo que confirma algunos de los comportamientos que Gamers Nexus había sacado a la luz.