Tutto parte da una sensazione che molti conoscono: pubblicità troppo precise. Un ricercatore di sicurezza e cacciatore di bug bounty che su X si firma log4j ha notato che il suo televisore Samsung, un modello 2025, gli proponeva annunci «stranamente mirati». Ha deciso di guardarci dentro. Il 21 ottobre ha pubblicato il primo post: il firmware era cifrato con AES e le chiavi non erano recuperabili senza smontare l'apparecchio, così è passato per vulnerabilità sconosciute fino a ottenere una shell di root. Conclusione, in maiuscolo: «PRIVACY HORROR».
Nei giorni successivi, racconta Tom's Hardware, il thread si è allungato con dettagli sempre più scomodi. Poi è arrivato il colpo di scena laterale: OpenAI gli ha chiuso l'account per «abuso informatico».
Vale la pena separare con cura tre cose: quello che il ricercatore dice di aver visto, quello che è stato verificato da altri, e quello che sappiamo già da anni sulle smart TV, indipendentemente da questo caso.
Cosa sostiene di aver trovato
Secondo log4j, il sistema operativo Tizen contiene codice per:
- telemetria dettagliata dell'uso, ricavata anche dal logging dei pacchetti di rete;
- categorizzazione dell'audio ambientale;
- screenshot di ciò che passa sullo schermo;
- un identificativo pubblicitario, l'AID, usato per riconoscere lo stesso utente su dispositivi diversi;
- un modello di visione artificiale, nello specifico una rete neurale convoluzionale diversa per regione, che elabora sul televisore il comportamento di chi guarda: quali video, quali pubblicità vengono saltate, a che punto si interrompe la riproduzione.
Il dettaglio più inquietante riguarda i televisori senza microfono: il software, dice il ricercatore, cerca dispositivi collegati che ne abbiano uno, come una soundbar o un accessorio Bluetooth, e li usa per catturare l'audio. Log4j ipotizza anche che tutto questo lavoro in background spieghi perché molte smart TV diventano lente col tempo. È un'inferenza plausibile, non una misura.
Il thread si chiude con una battuta: «finalmente ho trovato un'azienda che ascolta davvero i suoi clienti».
Cosa è stato verificato (poco, per ora)
Qui serve prudenza. Il materiale pubblicato finora sono post su X, non un report tecnico: il ricercatore ha annunciato una ricostruzione completa, con le istruzioni per replicare il lavoro, ma al momento in cui scriviamo non è uscita. Le testate che hanno ripreso la storia, da Wccftech a Quest Review Center, sottolineano che si tratta dell'interpretazione di codice decompilato, non di un audit riprodotto in modo indipendente.
L'unica prova esterna viene da ngxson, ingegnere di Hugging Face, che ha provato a osservare il comportamento del microfono con un Flipper Zero. Risultato: il televisore ha aperto il microfono per esattamente cinque secondi e poi si è fermato; nelle ore successive, nessun'altra attivazione. Lo stesso ngxson avverte però che la sua TV era già sottoposta a root e aveva diverse impostazioni disattivate, quindi un apparecchio di serie potrebbe comportarsi in modo diverso.
Samsung, alla data di oggi, non ha commentato le accuse specifiche. La sua posizione generale resta quella di sempre: il riconoscimento dei contenuti è una funzione facoltativa, soggetta a consenso e disattivabile.
La parte che non è un'ipotesi: l'ACR
Anche ammesso che metà delle affermazioni di log4j si rivelino esagerate, il meccanismo di fondo è documentato da anni. Si chiama ACR, Automatic Content Recognition: il televisore cattura periodicamente fotogrammi di ciò che mostra, ne ricava un'impronta digitale e la invia a un server che la confronta con un archivio di trasmissioni e contenuti. Il risultato finisce in segmenti di pubblico venduti agli inserzionisti.
Come funziona l'ACR: fotogrammi catturati, impronta del contenuto, confronto con il database, segmenti di pubblico. Figura da Anselmi et al., «Watching TV with the Second-Party», ACM IMC 2024, licenza CC BY 4.0.
Il lavoro più citato è lo studio di University College London, UC Davis e Universidad Carlos III di Madrid presentato alla conferenza ACM IMC 2024 (arXiv 2409.06203). I ricercatori hanno collegato televisori Samsung e LG a una rete sotto osservazione, nel Regno Unito e negli Stati Uniti, e hanno misurato il traffico verso i domini ACR in vari scenari: antenna, canali gratuiti in streaming, app come Netflix, ingresso HDMI, schermo condiviso.
I numeri sono questi. Secondo la documentazione degli stessi produttori, Samsung cattura un fotogramma ogni 500 millisecondi, LG addirittura ogni 10 millisecondi. Le impronte vengono poi spedite a pacchetti: ogni minuto per Samsung, ogni 15 secondi per LG. Il risultato più scomodo è un altro: l'ACR funziona anche quando la TV è usata come semplice monitor, cioè con una console o un computer collegati via HDMI. Quello che appare sullo schermo viene riconosciuto a prescindere da dove arriva.
Traffico verso i domini ACR di una TV Samsung nel Regno Unito, dieci minuti di osservazione: in alto con antenna e HDMI, in basso a riposo, con canali FAST, app di streaming e screen casting. Figura da Anselmi et al., ACM IMC 2024, licenza CC BY 4.0.
C'è anche una notizia buona: nei test, disattivare l'ACR dalle impostazioni fermava effettivamente il traffico verso quei server. Solo che arrivarci richiedeva di attraversare più menu e sottomenu, con voci dai nomi poco eloquenti. È questo, più ancora della tecnologia, il punto critico: il consenso esiste sulla carta, ma è costruito per non essere esercitato.
Ed è qui che le affermazioni di log4j diventano rilevanti. Se davvero alcune raccolte di dati proseguono anche dopo l'opt-out, o se esistono canali, come l'audio da dispositivi collegati, che l'utente non può ragionevolmente immaginare, allora il problema non è più di trasparenza ma di consenso violato. È esattamente il tipo di prova che finora mancava, ed è il motivo per cui la ricostruzione completa promessa va letta con attenzione quando arriverà.
Il precedente del Texas
Il tema non è solo accademico. Il 15 dicembre 2025 il procuratore generale del Texas, Ken Paxton, ha fatto causa a Samsung, LG, Sony, Hisense e TCL, accusandoli di raccogliere i dati ACR senza un consenso valido e definendo di fatto i televisori un sistema di sorveglianza domestica. A gennaio 2026 un tribunale ha emesso un'ordinanza restrittiva temporanea contro Samsung, poi revocata.
Il 26 febbraio Samsung ha chiuso un accordo: niente più raccolta di dati ACR dai residenti del Texas senza consenso esplicito e informato, e riscrittura delle schermate sulla privacy. LG ha firmato un'intesa analoga a maggio. Le cause contro Sony, Hisense e TCL, secondo le ultime notizie disponibili, sono ancora aperte.
Il fatto che l'accordo valga solo per un singolo Stato dice molto: le stesse TV, fuori dal Texas, continuano a funzionare con le impostazioni di prima. E non è la prima volta. Nel 2017 Vizio pagò 2,2 milioni di dollari alla Federal Trade Commission per aver raccolto i dati di visione di circa 11 milioni di televisori senza informarne gli utenti. Nel 2015 era stata proprio Samsung a finire sui giornali per l'informativa che invitava a non pronunciare informazioni sensibili davanti alla TV, perché le parole potevano essere trasmesse a terzi insieme ai comandi vocali.
Il caso nel caso: il ban di OpenAI
C'è poi il dettaglio che ha fatto girare la storia anche fuori dagli ambienti della sicurezza. Log4j ha usato gli strumenti di OpenAI per l'analisi del firmware e ha ricevuto un'email di chiusura dell'account per cyber abuse. Lui sostiene di non averli mai usati per scoprire o sfruttare vulnerabilità, solo per il reverse engineering in locale, e di non aver violato i termini d'uso; la sua spiegazione è che sia scattato un «classificatore primitivo». OpenAI non ha commentato il caso specifico.
È un problema strutturale che i laboratori AI non hanno ancora risolto. Le stesse capacità che aiutano un ricercatore a capire cosa fa il televisore del proprio salotto sono quelle che aiutano un attaccante a entrare in quello di qualcun altro. Per distinguere i due casi i fornitori usano filtri automatici, e i filtri automatici sbagliano in entrambe le direzioni. Ne abbiamo parlato a proposito della scelta di Anthropic di tenere riservato Claude Mythos Preview: più i modelli diventano bravi nella sicurezza informatica, più le aziende tendono a stringere, e chi fa ricerca difensiva rischia di pagare per primo.
Il paradosso è evidente: un utente indaga su un'azienda che raccoglie dati senza dirlo chiaramente, e a essere sanzionato da un sistema automatico è lui.
Cosa fare, in pratica
In attesa della ricostruzione completa, la cosa ragionevole è non aspettare. Su una TV Samsung il percorso, con piccole variazioni a seconda del modello e dell'anno, passa da Impostazioni → Generali e privacy → Termini e privacy → Scelte privacy: lì vanno disattivati i Servizi di informazione sulla visione (l'ACR), la pubblicità basata sugli interessi e, se non li usate, i servizi di riconoscimento vocale. Su LG la voce si chiama Live Plus; su Google TV e Roku esistono interruttori equivalenti nelle sezioni privacy e pubblicità, come riassume Malwarebytes.
La misura più radicale, e la più efficace, resta un'altra: non collegare il televisore a internet e affidare le app a un box esterno di cui ci si fida di più. Una TV usata come schermo, senza rete, non può spedire impronte, screenshot o audio da nessuna parte.
In Europa il quadro giuridico è più severo di quello texano: per il GDPR il consenso deve essere libero, specifico e revocabile con la stessa facilità con cui è stato dato, e un percorso a cinque livelli di menu difficilmente rispetta quest'ultimo requisito. Finora però nessuna autorità europea ha aperto un fronte paragonabile a quello del Texas.
La domanda vera
La storia di log4j potrebbe ridimensionarsi quando arriveranno i dettagli: un'apertura del microfono di cinque secondi può essere un test di sistema, una rete neurale sul dispositivo può fare cose banali. Ma il punto non dipende da questo singolo thread. Il televisore è l'unico dispositivo di casa che sta acceso per ore davanti a tutta la famiglia, e il suo modello di business si è spostato dalla vendita dell'hardware, a margini sempre più bassi, alla vendita di pubblicità e dati. Finché sarà così, l'incentivo a vedere e ascoltare di più resterà più forte dell'incentivo a chiedere il permesso in modo chiaro.
