Um LG Smart TV que compras para casa pode transformar o que é exibido no ecrã, os dispositivos que tens em casa e até mesmo o microfone e a câmara, numa parte do negócio de publicidade e dados. Uma investigação técnica extensa indica que os LG Smart TVs testados possuem ACR (Reconhecimento Automático de Conteúdo) de primeira parte, e altos executivos da publicidade já afirmaram publicamente que “temos este vidro” — o que significa que o reconhecimento de conteúdo e os caminhos de dados associados podem não corresponder à intuição de que “compraste e agora tens total controlo”. Abaixo, organizamos as descobertas chave, riscos e direções de mitigação a considerar; os detalhes são baseados na investigação original e nas respostas oficiais subsequentes.
A investigação separou duas linhas: uma é o comportamento de primeira parte, projetado para lucros publicitários (que pode ser feito sem vulnerabilidades); a outra é a vulnerabilidade de segurança, que pode transformar a televisão num dispositivo de gravação/escuta mais oculto. A sobreposição de ambos torna “apenas um grande ecrã” também potencialmente inseguro.
ACR de Primeira Parte: “Possuir o Vidro”, Mapeamento Familiar e Escaneamento de Rede Local
O ACR transforma imagens/sons em impressões digitais, enviando-as para servidores de soluções publicitárias. A investigação cita declarações de executivos da publicidade: possuir ACR de primeira parte significa entender “tudo o que aparece no ecrã”. Em termos de escala, números externos mencionam cerca de 216 milhões de LG Smart TVs, enquanto a publicidade afirma que nos EUA é possível alcançar cerca de 363 milhões de “dispositivos secundários” — interpretado como mais do que apenas a televisão em si, mas como uma forma de mapear quem está em casa e quais dispositivos estão presentes.
O que mais preocupa os testadores é o comportamento nativo da rede local: a televisão pode escanear nomes de exibição, sinais, MAC, IP interno, SSID de Wi-Fi próximos/canais/intensidade (que ajudam a inferir localização), além de dispositivos não relacionados como telemóveis, smartwatches, impressoras, servidores e até dispositivos relacionados com ar condicionado. A investigação, através da análise de pacotes, indica que essas informações são uma função nativa, sem necessidade de vulnerabilidades. O ACR transmitido estimou cerca de 4GB por mês. Campos de log também foram destacados: ID de publicidade, UUID de dispositivo difícil de redefinir, fontes de entrada/App, tempos de ligar/desligar, bandeira de consentimento de privacidade, Wi-Fi nas proximidades, etc.; conteúdos de HDMI e canais internos também podem ser incluídos na identificação.
Caminhos de Vulnerabilidade: Ecrã Desligado, Escuta Offline, Transmissão Posterior
Com a colaboração de investigadores de segurança, a investigação demonstrou que é possível obter transcrições em texto claro de entradas de voz/conversas, e que a câmara/webcam/microfone ainda podem gravar e captar som mesmo quando o ecrã parece desligado; até mesmo com o cabo de rede desconectado, o microfone pode continuar a captar som e armazenar temporariamente, aguardando que o utilizador se reconecte à internet para transmitir através de vulnerabilidades. Outros problemas, como execução remota de código, estão a passar pelo processo de divulgação responsável, e os investigadores recomendam que se mantenha a LG Smart TV offline sempre que possível. A investigação também mencionou que cerca de 43% das aplicações da loja webOS podem ser usadas como proxies residenciais, aumentando o risco horizontal.
O processo de consentimento foi apontado como tendencioso: opções como “não vender os meus dados pessoais” podem não ser evidentes, e a configuração padrão tende a ativar o assistente de voz/mão-livres. Apenas considerando-a como um “monitor mudo”, desconectar o Ethernet, mesmo em hotspots de dupla SSID e comportamentos residuais, pode não ser suficiente. A nível contratual, foram mencionadas cláusulas extensas, arbitragem e arranjos de litígios coletivos, além de restrições através de bloqueios digitais/circunvenção que limitam o espaço do utilizador para remover software de monitoramento semelhante. Cenários médicos também foram destacados: se clínicas ou lares utilizarem dispositivos de exibição relacionados para consultas por vídeo, os limites de privacidade dos pacientes tornam-se ainda mais nebulosos.
| Área | Pontos da Investigação | O que os Utilizadores Devem Estar Atentos |
|---|---|---|
| ACR/Publicidade | Impressões digitais de conteúdo de primeira parte, expressão “possuir o vidro” | Os lucros publicitários podem superar a narrativa de margem de hardware |
| Escaneamento de Rede Local | MAC/IP interno/Wi-Fi próximo/outros dispositivos | Comportamento nativo, sem necessidade de vulnerabilidades |
| Escuta e Gravação | Ecrã desligado, armazenamento offline, transmissão posterior | Investigadores recomendam manter offline |
| App/Proxy | Um grande número de aplicações webOS pode atuar como proxies residenciais | Aumenta a exposição da rede local |
| Mitigação | A comunidade tem diretrizes de bloqueio/filtragem | Iniciativas legislativas e da indústria ainda estão em andamento |
Como Ver e O Que Fazer: Assumir que “Conectar-se à Internet Significa Ter Caminhos de Dados”
Se em casa, Airbnb, hotel ou escritório já tiveres um painel inteligente LG, a abordagem prática é reavaliar se realmente precisas de estar online a longo prazo, se os acessórios de microfone/câmara precisam de cobertura física ou remoção, se as definições do assistente de voz devem ser completamente desativadas, e se a rede local deve ser segmentada para isolar dispositivos IoT. A comunidade tem diretrizes de configuração de bloqueio específicas para TVs LG que podem servir como referência técnica; um escopo mais amplo ainda depende de correções dos fabricantes, regulamentação e investigações de marcas subsequentes.
Em resumo: esta investigação pretende não apenas dizer “há publicidade”, mas sim que a coleta de dados de primeira parte e os caminhos de vulnerabilidade tornam o grande ecrã da sala de estar um sensor de publicidade e um potencial dispositivo de escuta ao mesmo tempo. Comprar hardware e ter controle sobre os dados em dispositivos como este pode não ser a mesma coisa — decisões de risco devem ser feitas antes de se conectar à internet, e não apenas decisões de conveniência.