Vizio, Samsung, Roku : des TV espionnent même après refus de l'ACR

Ce qui s'est passé

Des chercheurs de la Northeastern University ont testé 12 téléviseurs de 10 fabricants afin de vérifier si la désactivation de la reconnaissance automatique de contenu, ou ACR, met réellement fin au suivi, a rapporté The Verge. Le refus a stoppé le trafic vers les points de terminaison soupçonnés d'ACR sur le webOS de LG, Amazon Fire TV, un téléviseur Sony sous Google TV et les modèles Vidaa OS. Le Tizen de Samsung a réduit ce trafic sans y mettre fin, et le téléviseur Vizio de Walmart n'a montré aucun changement.

Deux téléviseurs Roku OS, l'un de TCL et l'autre de Roku lui-même, ont continué d'exécuter la reconnaissance de contenu dans l'application The Roku Channel même après le refus des utilisateurs. TCL signale cette limite dans son menu de réglages, contrairement au téléviseur de marque Roku. Comme la quasi-totalité du trafic était chiffrée, les chercheurs indiquent n'avoir pu en confirmer le contenu. Le responsable du projet, David Choffnes, a précisé que les résultats se sont maintenus après des réinitialisations d'usine sur les appareils Vizio et Fire TV.

L'équipe a également découvert une faille dans Vidaa OS qui exposait un broker MQTT reliant le système à Unruly, une plateforme publicitaire vidéo. Grâce à elle, les chercheurs ont obtenu des données de reconnaissance appartenant à d'autres propriétaires de Vidaa, récupérant en trois heures des enregistrements de plus de 1 million de téléviseurs uniques, dont des identifiants d'appareil permanents et des empreintes audio. Vidaa a confirmé le problème et exige désormais une connexion, même si les messages restent non chiffrés.

Contexte

L'ACR capture de courts extraits du son ou de l'image d'un téléviseur, les convertit en empreintes numériques et les compare à une base de données pour identifier ce qui est à l'écran. Les fabricants exploitent ces résultats pour les recommandations de visionnage, les mesures d'audience et la publicité ciblée. Vizio a conclu en 2017 un règlement amiable avec la FTC dans une action portant sur la collecte de données des consommateurs. Walmart n'avait pas répondu à une demande de commentaire sur les résultats concernant Vizio avant la publication.

Profil Google →