Výskumník tvrdí, že Samsung TV je „privacy horror“. Televízor podľa neho sleduje, čo pozeráš, reklamy aj zvuk

Výskumník vystupujúci pod prezývkou log4j získal root prístup k televízoru Samsung z roku 2025 a začal skúmať, čo všetko sa skrýva v jeho systéme. V kóde narazil na spracovanie obrazu a zvuku aj na údaje súvisiace so sledovaním videí či reklamami. Jeho zistenia zatiaľ poznáme najmä z príspevkov na sociálnej sieti X. Tím z Northeastern University medzitým zverejnil výsledky samostatných testov ACR. Na testovanom televízore so systémom Tizen zachytil komunikáciu s ACR servermi aj po vypnutí tejto funkcie.

Prvé detaily zo svojho testovania začal log4j zverejňovať 21. októbra. Tvrdí, že firmvér televízora bol chránený šifrovaním AES a root prístup získal cez dovtedy nezverejnené zraniteľnosti v Tizene. Samotné chyby ani celý postup zatiaľ nezverejnil. Prvotný prienik do systému a získanie root shellu rozoberá AI Weekly.

i own a relatively new (2025) samsung tv.

i kept getting weirdly targeted ads.

i tried reversing the firmware but it was aes encrypted and no keys unless tear it apart and do uart/jtag magic.

zero days it is. root shell on new samsung TVs!

discovered PRIVACY HORROR. write up? https://t.co/EsxxCy1b6a

— log4j (@log4j) October 21, 2026

V kóde našiel sledovanie pretáčania videa aj preskočených reklám

Vo firmvéri našiel súbor LogoCNN.bin a k nemu cnn.mapping. Log4j ich opisuje ako súčasť regionálne prispôsobenej konvolučnej neurónovej siete, ktorá pracuje s obrazom. V kóde zároveň našiel udalosti zaznamenávajúce, či používateľ pretáča video, preskočí reklamu alebo na akom mieste prehrávanie skončilo.

Ďalšie časti, ktoré zverejnil, pracujú so snímkami obrazovky, zvukom a identifikátorom AID spájaným s reklamou. Z príspevkov však nevyplýva, či všetky tieto dáta spracúva priamo modul LogoCNN, alebo ich obsluhujú iné časti Tizenu. Zistenia log4j podrobnejšie rozobral Tom’s Hardware.

Súvisí s tým

Samsung Galaxy S26 Ultra získal prestížne ocenenie. TIME ho zaradil medzi najlepšie vynálezy roka 2026

Log4j ďalej tvrdí, že ak televízor nemá vlastný mikrofón, Tizen môže využiť mikrofón v pripojenom zariadení, napríklad soundbare alebo Bluetooth príslušenstve.

this is pretty evil and clever.

so if your samsung TV model doesnt have a microphone, it will look for connected devices with one, such as a soundbar or a connected bluetooth device.

this gets shipped off to bixby.

— log4j (@log4j) October 23, 2026

Jeho tvrdenie skúsil následne overiť inžinier z Hugging Face Xuan-Son Nguyen, známy na X ako ngxson. Na svojom rootnutom televízore zaznamenal, že sa mikrofón otvoril presne na päť sekúnd a potom sa vypol. Počas ďalších hodín už žiadne ďalšie nahrávanie nezachytil. Sám upozornil, že testoval zariadenie s root prístupom a upravenými nastaveniami. Pri bežnom, neupravenom televízore zatiaľ rovnaké správanie zdokumentované nebolo.

@log4j Ok so right off the bat, it opens the mic for exactly 5 seconds then stop. Seems like a strange way to test mic (?)

Then no more recording since then, but need to keep observing more to conclude https://t.co/PSHIfMG2oO

— Xuan-Son Nguyen (@ngxson) October 23, 2026

Kód na štekanie a plač sedí na Pet Care a Family Care

Samsung má pre rozpoznávanie niektorých zvukov vlastné funkcie Pet Care a Family Care, ktoré sú súčasťou vybraných televízorov s Vision AI. V spojení so SmartThings dokážu podľa dokumentácie Samsungu rozpoznať napríklad štekanie psa alebo plač dieťaťa a poslať používateľovi upozornenie.

V telemetrii, ktorú log4j zverejnil, sú práve počítadlá udalostí spojených so štekaním a plačom. Samsung teda takéto rozpoznávanie zvuku vo svojich televízoroch ponúka aj ako oficiálnu funkciu.

ACR vytvára odtlačok sledovaného obsahu a posiela ho na porovnanie

Samsung má v televízoroch Automatic Content Recognition, skrátene ACR. Pri povolenej službe Viewing Information Services televízor vytvára odtlačky toho, čo beží na obrazovke, a používa ich na rozpoznanie sledovaného obsahu.

Samsung v dokumentácii k tejto službe spomína históriu pozerania, informácie o sledovaných programoch a čase ich sledovania, identifikátory televízora aj IP adresu. Zároveň píše, že samotný obsah zobrazovaný na Smart TV „nenahráva ani nesleduje“.

Viewing Information Services môže používateľ vypnúť priamo v nastaveniach televízora. Pri testoch Northeastern University však komunikácia spojená s ACR po vypnutí na testovanom Tizene úplne nezmizla.

Po vypnutí ACR Tizen ďalej komunikoval s ACR servermi

Tím z Northeastern University otestoval 12 televízorov od desiatich výrobcov s ôsmimi rôznymi operačnými systémami. V 5 943 meraniach striedali klasické televízne vysielanie, obraz z HDMI, streamovacie aplikácie aj služby výrobcov. Každý scenár spustili aj s vypnutým ACR. Kompletné výsledky zverejnili v projekte Watching the Watchers.

Na televízore Samsung so systémom Tizen sa komunikácia zodpovedajúca ACR objavovala aj po opt-oute. Pri anténnom vysielaní ju zachytili v 41 zo 60 meraní, pri HDMI v 18 z 30 a pri službe Tubi v 6 z 30. Pri vstavanej streamovacej službe Samsungu sa objavila vo všetkých 30 testoch.

Pri čiernej obrazovke so zapnutým zvukom ACR komunikácia zmizla. Keď výskumníci vypli zvuk a ponechali pohyblivý obraz, pokračovala. Na testovanom Tizene teda ACR pracovalo s obrazom.

Obsah paketov zostal zašifrovaný. Vedci videli, kam televízor komunikuje, kedy sa spojenie aktivuje a koľko dát prenáša, nie však ich obsah. V štúdii preto hovoria o komunikácii „consistent with ACR“, teda o správaní zodpovedajúcom ACR. Z paketov nedokázali prečítať, čo televízor odosielal.

Starší výskum z roku 2024 pri televízoroch Samsung a LG skončil po vypnutí príslušných privacy controls inak. Spojenia s ACR servermi vtedy prestali. Novšie merania na Tizene už rovnaký výsledok nepriniesli. Medzitým sa zmenili testované zariadenia aj firmvér, takže zdroj rozdielu nie je známy.

Texas napadol spôsob, akým Samsung získaval súhlas so zberom ACR dát

V decembri 2025 podal generálny prokurátor Texasu žalobu na Samsung pre spôsob, akým firma získavala súhlas používateľov so zberom údajov cez ACR. Samsung obvinenia odmietol.

Spor sa skončil dohodou oznámenou 26. februára 2026. Samsung podľa nej nesmie v Texase zbierať ani spracúvať údaje o sledovaní cez ACR bez výslovného súhlasu používateľa a musí jasnejšie uviesť, aké údaje zbiera a na čo ich používa. Podmienky dohody zverejnil texaský generálny prokurátor.

Samsung naďalej odmieta, že by jeho televízory používateľov špehovali. Firma uviedla, že jej televízory „nešpehujú zákazníkov“ a že dovtedajšie pravidlá podľa nej spĺňali texaskú legislatívu. Po dohode však upravila spôsob, akým žiada o súhlas so zberom ACR dát a ako túto funkciu používateľom vysvetľuje. Stanovisko spoločnosti citoval The Record.