Investigação aponta coleta de dados e falhas que podem transformar TVs LG em dispositivos de escuta

Uma investigação conduzida pelo Gamers Nexus, em colaboração com o Level1Techs e pesquisadores independentes de segurança, levantou preocupações sobre privacidade e segurança em Smart TVs da LG. Os testes indicaram que aparelhos analisados conseguem identificar dispositivos presentes na rede doméstica, coletar informações sobre redes Wi-Fi próximas e usar tecnologias de reconhecimento de conteúdo para acompanhar o que está sendo exibido na tela. Os pesquisadores também demonstraram vulnerabilidades que poderiam permitir transformar uma televisão comprometida em um dispositivo de escuta.

A investigação, publicada após centenas de horas de testes, analisou modelos OLED comercializados normalmente pela fabricante. Parte do trabalho envolveu inspeção do firmware e monitoramento do tráfego de rede com o Wireshark para entender quais informações eram processadas pelos aparelhos e como eles se comunicavam com serviços externos.

Entre os comportamentos observados está a capacidade de identificar endereço IP, localização geográfica, nomes e características de redes Wi-Fi próximas, além de outros dispositivos conectados à mesma rede local. Segundo o Gamers Nexus, durante um dos testes uma LG OLED G5 encontrou dezenas de equipamentos que não tinham relação direta com a televisão, incluindo smartphones e smartwatches.

A LG contestou a interpretação. Segundo a fabricante, Smart TVs podem identificar dispositivos compatíveis na mesma rede para habilitar funcionalidades como conectividade, compartilhamento de conteúdo e integração com sistemas de casa inteligente, comportamento que a empresa considera padrão nesse tipo de produto.

Outro ponto central da investigação é o ACR, ou Automatic Content Recognition. A tecnologia permite identificar o conteúdo exibido na televisão e gerar informações sobre os hábitos de visualização. A própria LG anunciou em 2022 a expansão global de sua tecnologia proprietária de ACR, desenvolvida pela LG Ads Solutions, para milhões de televisores em 27 países da Europa, África, Ásia-Pacífico, América Latina e Austrália.

O ACR pode ser usado para entender a exposição de uma residência a determinados anúncios e medir a eficácia de campanhas publicitárias. Segundo a LG, esses dados são tratados de forma anonimizada e permitem, por exemplo, identificar residências que receberam pouca ou muita exposição a determinada campanha.

Na prática, a tecnologia pode reconhecer conteúdo independentemente de sua origem, incluindo material reproduzido por dispositivos externos conectados à TV. É justamente essa capacidade que torna o ACR relevante do ponto de vista de privacidade: a televisão deixa de ser apenas o equipamento responsável pela reprodução das imagens e passa a funcionar também como uma fonte de dados sobre os hábitos do usuário.

A LG afirma que o ACR é opcional e depende do consentimento do usuário. Se o termo correspondente não for aceito, segundo a companhia, os dados obtidos pela tecnologia não são utilizados para fins publicitários. O uso de ACR, entretanto, não é exclusivo da LG e está presente em produtos de diferentes fabricantes de Smart TVs.

Microfone e áudio entram no centro da investigação

Os testes também avaliaram os recursos de reconhecimento de voz das televisões. O Gamers Nexus afirma ter encontrado registros locais relacionados a comandos de voz e situações em que o microfone permaneceu ativo por alguns segundos após uma interação, potencialmente capturando áudio adicional presente no ambiente.

A investigação também descreve situações em que arquivos relacionados a áudio poderiam permanecer armazenados localmente quando a televisão estava sem conexão com a internet e posteriormente serem processados ou transmitidos quando a conectividade fosse restabelecida.

A LG rejeitou a afirmação de que suas televisões gravem indiscriminadamente conversas ambientes. Em resposta à repercussão da investigação, a empresa afirmou que dados de voz são processados somente quando o botão correspondente no controle remoto é pressionado ou quando uma palavra de ativação, como “Hi LG”, é reconhecida em aparelhos nos quais o usuário habilitou previamente o recurso de reconhecimento de voz à distância.

Segundo a fabricante, a detecção da palavra de ativação ocorre localmente e, quando ela não é reconhecida, os dados não são enviados aos servidores e o áudio utilizado no processo é descartado. Portanto, existe uma divergência direta entre a interpretação dos testes apresentados pelos pesquisadores e a explicação fornecida pela LG.

Vulnerabilidades ampliam preocupação com as Smart TVs

A investigação separa a coleta de dados realizada pelas funcionalidades da própria plataforma das vulnerabilidades de segurança encontradas nos aparelhos. Essa distinção é importante: mecanismos como ACR e descoberta de dispositivos fazem parte de funcionalidades implementadas pela fabricante, enquanto uma vulnerabilidade pode permitir que terceiros utilizem capacidades do equipamento de maneira não autorizada.

Segundo o Gamers Nexus, falhas encontradas durante a pesquisa poderiam ser exploradas para transformar uma televisão comprometida em um dispositivo de escuta, aproveitando o microfone presente no aparelho. O material publicado não apresenta todos os detalhes técnicos necessários para reproduzir os ataques, e parte das informações permanece limitada por razões de divulgação responsável.

Esse cenário ganha relevância porque Smart TVs podem estar instaladas não apenas em residências, mas também em salas de reunião, escritórios, hotéis e outros ambientes onde conversas potencialmente sensíveis acontecem. A combinação entre conectividade permanente, microfones, software complexo e acesso à rede local transforma esses equipamentos em uma superfície de ataque semelhante à de outros dispositivos de Internet das Coisas.

LG Ads Solutions e o mercado de dados das televisões

A investigação também direciona atenção para a LG Ads Solutions, braço de publicidade da companhia. Materiais comerciais citados durante a análise mostram a importância dos dados provenientes das televisões para segmentação e mensuração de campanhas publicitárias.

A própria LG descreve oficialmente o ACR como parte importante de seu negócio de publicidade em Connected TV. A companhia afirma que a tecnologia permite às marcas compreender audiência, frequência de exposição a anúncios e resultados de campanhas.

Materiais da LG Ads Solutions mencionados na investigação apontam ainda alcance de centenas de milhões de dispositivos secundários endereçáveis. A análise questiona até que ponto informações provenientes da televisão podem contribuir para construir uma visão mais ampla dos dispositivos existentes dentro de uma residência.

A política de privacidade da LG no Brasil informa que seus serviços podem coletar diferentes categorias de informações, incluindo endereço IP, endereço MAC, informações sobre roteadores e redes, localização e dados relacionados ao uso de dispositivos. A empresa também mantém políticas específicas para usuários de Smart TVs e produtos de mídia inteligentes.

As descobertas não significam, porém, que todas as Smart TVs LG estejam necessariamente gravando continuamente seus proprietários ou que os 216 milhões de aparelhos mencionados no título da investigação tenham sido comprometidos. Os resultados dizem respeito aos equipamentos e configurações analisados pelos pesquisadores, enquanto parte das conclusões sobre o processamento de dados é contestada pela fabricante.

O caso coloca novamente em discussão a quantidade de informações que dispositivos conectados conseguem observar dentro de uma residência. No caso das Smart TVs, o problema envolve duas questões diferentes: quais dados são coletados legitimamente pelo fabricante para oferecer recursos e publicidade e quais capacidades podem ser apropriadas por um invasor caso vulnerabilidades permitam comprometer o equipamento.