# Исследователи обнаружили утечку данных о просмотрах с умных телевизоров

> Источник: 404 Media. Канонический URL: https://404-media.ru/tehnologii/issledovateli-obnaruzhili-utechku-dannyh-o-prosmotrah-s-umnyh-televizorov

Исследование 12 моделей смарт‑телевизоров выявило 57 млн общедоступных записей о просмотрах и случаи передачи данных после отключения ACR.

- Рубрика: Технологии (https://404-media.ru/tehnologii)
- Опубликовано: 2026-10-23T12:45:36+03:00
- HTML: https://404-media.ru/tehnologii/issledovateli-obnaruzhili-utechku-dannyh-o-prosmotrah-s-umnyh-televizorov
- Markdown: https://404-media.ru/tehnologii/issledovateli-obnaruzhili-utechku-dannyh-o-prosmotrah-s-umnyh-televizorov.md
- llms.txt: https://404-media.ru/llms.txt

![Исследователи обнаружили утечку данных о просмотрах с умных телевизоров](https://storage.yandexcloud.net/404-media/media/2026/10/hY2556xjV5GTBZvUR07VRVCIZcPUdSnMRYhjhhpc.jpg)

Исследователи Северо‑Восточного университета обнаружили более 57 млн общедоступных записей о контенте, который смотрели пользователи умных телевизоров. Данные были связаны более чем с 1 млн уникальных устройств. В отдельных случаях телевизоры продолжали передавать информацию даже после отключения функции автоматического распознавания контента (ACR).

![Исследователи обнаружили утечку данных о просмотрах с умных телевизоров](https://storage.yandexcloud.net/404-media/media/2026/10/oUEBkYlPPJuGwGxXlECG66KPb70NIi0Pj8Aqsze5.jpg)

Фото: Хабр

Работа под названием Watching the Watchers охватила 12 моделей телевизоров десяти производителей. Устройства работали на восьми операционных системах, которые вместе занимают около 95% американского рынка смарт‑телевизоров. Для проверки исследователи провели почти 6 тыс. автоматизированных экспериментов, оценивая работу систем слежения, эффективность отказа от сбора данных и доступность сведений о просмотрах.

## Самая серьёзная проблема обнаружилась в Vidaa

Наиболее серьёзную уязвимость нашли в операционной системе Vidaa. Система ACR передавала данные на серверы Unruly по незашифрованному протоколу MQTT. Соединение не требовало аутентификации, поэтому третьи лица могли просматривать результаты распознавания контента с других телевизоров.

В сообщениях содержались постоянный идентификатор устройства, часовой пояс, название [приложения](/tehnologii), источник входного сигнала, номер телеканала и аудиофингерпринт. Исследователи собирали информацию в течение трёх часов — эксперимент ограничили по этическим соображениям. За это время они получили свыше 57 млн записей, охватывавших 82 категории контента, включая политику, религию, здравоохранение и медицину.

Метаданные приложений позволяли предположить наличие потенциально чувствительных интересов пользователей. Отдельную обеспокоенность вызвало отслеживание через Vidaa Kids, поскольку оно могло затрагивать детей. Другое приложение передавало названия [фильмов](/kino) и телепередач напрямую.

После раскрытия проблемы Vidaa подтвердила её наличие и добавила аутентификацию. Однако, по словам исследователей, сообщения по-прежнему оставались незашифрованными. Команда также воспроизвела ранее обнаруженное сообщение, которое достигло тестового телевизора. Вредоносные данные исследователи не отправляли, поэтому возможные последствия такой возможности подтвердить не удалось.

## Отключение ACR работало не на всех устройствах

ACR определяет программы, сопоставляя аудио- и видеотпечатки с эталонными библиотеками. Во время тестов проверялись разные сценарии: эфирное телевидение через антенну, стриминговые сервисы, подключение устройств по HDMI, зеркалирование экрана и режим ожидания.

Полный отказ от участия корректно работал на протестированных версиях LG webOS, Sony Google TV, Amazon Fire TV и Vidaa. При этом у других платформ исследователи зафиксировали остаточный трафик. В 30 тестах встроенный стриминговый сервис Tizen от Samsung продолжал создавать трафик, соответствующий заявленным параметрам распознавания. Передача данных также наблюдалась при просмотре через антенну, HDMI и Tubi.

После отключения SmartCast на телевизорах Vizio трафик к точке распознавания Amazon Kinesis заметно не уменьшался. Настройки Roku не распространялись на собственный стриминговый сервис [компании](/biznes). Большая часть трафика была зашифрована, поэтому исследователи могли установить сам факт передачи, но не всегда могли определить содержание сообщений, дальнейшую обработку данных и срок их хранения.

## Просмотры можно восстановить и без ACR

Сервис WatchFree+ от Vizio раскрывал названия программ и каналов через незашифрованные DNS-запросы и поле TLS Server Name Indication, связанное с потоковым провайдером Amagi. Это позволяло наблюдателю, анализирующему сетевой трафик, восстановить последовательность просмотра независимо от настроек ACR.

Авторы подчёркивают, что результаты относятся к протестированным устройствам и версиям прошивок и не позволяют делать выводы обо всех телевизорах. Они рекомендуют шифровать и защищать аутентификацией трафик систем распознавания, проводить независимые проверки механизмов отказа от сбора данных и не включать сведения о просмотре в имена хостов потоковых сервисов. Кроме того, производителям следует яснее сообщать, какие входные данные и приложения контролируются системами отслеживания.