Disattivare il tracciamento automatico dei contenuti (ACR) sulle smart TV non sempre funziona. È quanto emerge da uno studio della Northeastern University, che ha monitorato 12 televisori di 10 produttori per verificare l'efficacia dell'opt-out. Se su molti modelli la rinuncia blocca davvero la raccolta dati, su altri il flusso di informazioni prosegue come se nulla fosse.
Come funziona il tracciamento ACR
I sistemi ACR campionano audio e video in riproduzione, li convertono in impronte digitali e li inviano a un database per identificare cosa stiamo guardando. Le aziende usano questi dati per suggerimenti, metriche di visione e pubblicità mirata. I ricercatori hanno analizzato il traffico di rete di ogni TV con software dedicati, testando contenuti da app native, servizi di terze parti come Netflix e YouTube, HDMI, antenna e mirroring.
I risultati mostrano differenze nette: l'opt-out è efficace su LG (webOS), Amazon Fire TV, Sony Bravia con Google TV e i televisori con Vidaa OS (Hisense, Toshiba e marchi minori). Al contrario, Samsung e Roku continuano a inviare dati: sul sistema Tizen il traffico cala ma non si azzera, mentre sui TV Roku l'ACR resta attivo sull'app The Roku Channel. Il caso peggiore è il Vizio di Walmart, dove la disattivazione non produce alcun effetto.
Una vulnerabilità su Vidaa OS
Durante i test è emersa anche una falla di sicurezza su Vidaa OS: i ricercatori hanno raggiunto un broker MQTT non cifrato e raccolto dati ACR da oltre un milione di televisori unici in tre ore, inclusi identificativi permanenti e impronte audio. L'azienda ha confermato il problema e richiesto un login per il server, ma i messaggi restano non cifrati. Poiché quasi tutto il traffico è criptato, gli studiosi non possono confermare al 100% la natura dei dati residui, ma lo considerano sospetto.
Per proteggersi, il consiglio più semplice è scollegare la TV da internet e usare un dispositivo di streaming esterno senza ACR. In alternativa, si possono usare i sistemi più rispettosi con opt-out completo, oppure bloccare gli endpoint tramite strumenti come Pi-hole. I ricercatori chiedono ai produttori maggiore trasparenza e la cifratura di tutto il traffico ACR, e ai regolatori di verificare che le opzioni di rinuncia funzionino davvero.
