Tutkija: Samsungin älytelevisio kerää ääntä, kuvakaappauksia ja katselutietoja
Tietoturvatutkija, joka esiintyy X:ssä nimellä log4j, kertoo saaneensa juurikäyttöoikeudet vuoden 2025 Samsung-älytelevisioonsa ja löytäneensä laitteen Tizen-järjestelmästä äänen luokittelua, kuvakaappauksia ja katselukäyttäytymistä seuraavan tekoälymallin. Hänen mukaansa televisio kerää tietoja mainonnan kohdistamista varten. Samsung kiistää, että sisällöntunnistus olisi pakollista: yhtiön mukaan se toimii vain, jos käyttäjä on ottanut sen käyttöön.
Tutkimus alkoi oudon kohdennetuista mainoksista
Log4j kertoi 22. lokakuuta julkaistussa viestissä omistavansa suhteellisen uuden, vuoden 2025 Samsung-television ja saaneensa siinä toistuvasti mainoksia, jotka tuntuivat liian osuvilta. Hän yritti purkaa laitteen laiteohjelmistoa, mutta se oli salattu AES-salauksella ilman avaimia. Niinpä hän haki laitteeseen juurikäyttöoikeudet ja alkoi tutkia Tizen-käyttöjärjestelmän toimintaa järjestelmätasolla.
Havaintojaan hän kuvaili X:ssä sanoilla ”privacy horror”. Tom’s Hardware -sivuston mukaan tutkija löysi yksityiskohtaista telemetriaa, pakettien lokitusta, kuvakaappauksia ja laitteiden väliseen mainonnan seurantaan liittyvän tunnisteen. Hän epäilee, että osa television hitaudesta johtuu siitä, että laite käsittelee paikallisesti ääntä, kuvakaappauksia ja mainostunnisteita sekä ajaa konenäköä ja kielimalleja.
Televisio luokittelee kuulemansa äänet
Yksi tutkijan yksityiskohtaisimmista havainnoista koskee ääntä. Hänen mukaansa televisio luokittelee kuulemaansa ääntä ennen kuin raportoi siitä Samsungille. Telemetriapoluissa on hänen mukaansa erilliset laskurit muun muassa koiran haukunnasta ja vauvan itkusta sekä kenttä, joka mittaa kameran suoratoiston kestoa.
Tutkija julkaisi havainnoistaan taulukon, jossa hän erottaa toisistaan sen, mitä koodi varmasti tekee ja mitä se ei todista. Esimerkiksi koiran haukuntaa ja vauvan itkua koskevat kentät ovat laskureita, jotka kertovat tapahtumista, mutta eivät hänen mukaansa osoita, että käyttäjälle olisi näytetty ilmoitus. Valoanturin tapahtuma puolestaan on ohjelmistolippu, ei raaka mittaus valon määrästä. Tällainen erottelu on olennainen, koska telemetriakentän olemassaolo ei yksin kerro, mitä tietoa laite lopulta lähettää eteenpäin.
LogoCNN seuraa, mitä sovelluksissa tapahtuu
24. lokakuuta log4j kertoi löytäneensä television ohjelmistosta aluekohtaisen konvoluutioneuroverkkomallin, joka latautuu tiedostoina LogoCNN.bin ja cnn.mapping. Hänen mukaansa malli seuraa sovellusten käyttöä: esimerkiksi YouTubessa se tarkkailee katsottuja videoita, ohitettuja mainoksia ja videon katseluedistymää.
Hän lisäsi, että televisio pyrkii löytämään myös sellaiset liitetyt laitteet, joissa on mikrofoni — esimerkiksi äänipalkin tai Bluetooth-laitteen — jos televisiossa itsessään ei ole mikrofonia. Hugging Face -yhteisössä työskentelevä ngxson testasi väitettä omalla juuritetulla Tizen-televisiollaan ja kertoi, että laite avasi mikrofonin noin viideksi sekunniksi ja lopetti sen jälkeen. Hän ei havainnut uren aikana uutta mikrofonivastausta ja huomautti, että hänen televisionsa oli juuritettu ja siitä oli kytketty useita asetuksia pois, joten tavallinen laite voi käyttäytyä toisin.
ACR-asetuksen pois kytkeminen ei tutkijan mukaan riitä
25. lokakuuta log4j varoitti, ettei automaattisen sisällöntunnistuksen (ACR) kytkemistä pois asetusvalikosta pidä pitää todisteena siitä, että telemetria lakkaa. Hän kertoi löytäneensä useita tapauksia, joissa asetuksen tarkistus on toteutettu väärin tai jätetty kokonaan tekemättä. Hän lupasi julkaista täyden raportin myöhemmin ja pyysi toimittajia pyytämään sen suoraan, jotta julkisuuteen ei päätyisi päätelmiä, joita hänen aineistonsa ei tue.
Havainto sopii yhteen Koillis-Yhdysvaltain yliopiston tutkijoiden lokakuussa julkaiseman Watching the Watchers -tutkimuksen kanssa. Siinä testattiin 12 älytelevisiota kymmeneltä valmistajalta ja tehtiin 5 943 koetta kahdeksalla käyttöjärjestelmällä. Tutkijat havaitsivat, että Samsungin Tizen lähetti sisällöntunnistukseen viittaavaa liikennettä vielä sen jälkeen, kun seuranta oli kytketty pois: kaikissa 30 yhtiön oman suoratoistosovelluksen testissä, 41:ssä 60 antennilähetysten testistä ja 18:ssa 30 HDMI-testistä. Myös Vizio jatkoi liikennettä, kun taas LG:n webOS:n, Amazonin Fire TV:n ja Sonyn testatun Google TV:n kohdalla pois kytkeminen lopetti liikenteen.
Tutkimuksen rajoitus on, että liikenne oli pääosin salattua, joten tutkijat eivät voineet varmistaa sen sisältöä. He pitävät seurannan jatkumista kytkemisen jälkeen kuitenkin epäilyttävänä, koska datan lähettäminen vain hävitettäväksi olisi tehoton tapa toteuttaa käyttäjän kielto. Samsungin ja Vizion lisäksi myös LG:n älytelevisioiden tietosuojaa on selvitetty syyskuussa: LG:n älytelevisioiden todettiin kartoittavan kotiverkkoa ja tallentavan puhetta jopa valmiustilassa.
Samsungin mukaan sisällöntunnistus on vapaaehtoinen
Samsung kertoo julkisella tukisivullaan, että ACR on valinnainen ominaisuus, joka käynnistyy vain, jos käyttäjä on sallinut katselutietopalvelut television käyttöönoton yhteydessä tai ottanut ne myöhemmin käyttöön asetuksista. Yhtiön mukaan kerättäviä tietoja voivat olla katseluhistoria, kuten katsotut ohjelmat ja niihin käytetty aika, sekä television yksilöivät tunnisteet, kuten henkilökohtainen palvelutunniste.
Samsung korostaa, ettei se tallenna tai katsele televisiossa näytettävää sisältöä, ja että käyttäjä voi kytkeä ACR:n pois milloin tahansa asetusvalikosta. Yhtiö ei ole kommentoinut log4j:n väitteitä julkisesti. Ars Technica kertoi kysyneensä Samsungilta ja Viziolta, miksi niiden käyttöjärjestelmät lähettävät liikennettä sisällöntunnistuksen palvelimiin seurannan ollessa pois päältä.
OpenAI sulki tutkijan tilin
Log4j kertoi käyttäneensä työssään OpenAI:n työkaluja ja saaneensa myöhemmin sähköpostin, jonka mukaan hänen tilinsä on suljettu ”kyberväärinkäytön” vuoksi. Hän kiisti käyttäneensä työkaluja television hyväksikäyttöön tai haavoittuvuuksien etsimiseen ja sanoi käyttäneensä niitä vain paikalliseen takaisinmallinnukseen. Hän arveli, että sulku johtui yksinkertaistetusta luokittelijasta.
Mitä televisionsa omistava voi tehdä
Tutkijat suosittelevat käytännön keinoja, jotka vähentävät altistusta riippumatta siitä, miten yksittäisen mallin asetukset toimivat. Tehokkain keino on irrottaa televisio kokonaan internetistä ja käyttää suoratoistoon erillistä ulkoista medialaitetta, jonka tietosuoja-asetukset voi tarkistaa erikseen. Jos televisio tarvitsee verkkoyhteyden, sen voi eristää omaan virtuaaliverkkoonsa, jolloin se ei näe kodin muita laitteita.
Koillis-Yhdysvaltain yliopiston tutkijat julkaisivat lisäksi listan verkkotunnuksista ja osoitteista, jotka voi estää verkossa. Euroopan unionissa yleinen tietosuoja-asetus (GDPR) edellyttää, että suostumus on vapaaehtoinen ja yksiselitteinen, joten asetusten pitäisi olla yhtä selkeitä kuin datankeruunkin. Käytännössä tutkimukset osoittavat, että näin ei aina ole.
Lähteet
- X (log4j) – turns out it classifies what audio it hears, before reporting back to samsung – 24.10.2026, klo 02.57 (Europe/Helsinki) – https://x.com/log4j/status/2113781968601055366
- Tom’s Hardware – Cybersecurity bounty hunter says Samsung TVs use AI to record audio and screenshots for ads – 25.10.2026, klo 13.00 (Europe/Helsinki) – https://www.tomshardware.com/tech-industry/cyber-security/hacker-finds-own-samsung-tv-collecting-scary-amounts-of-user-information-and-gets-banned-by-openai-for-cyber-abuse-tv-runs-an-ai-model-that-collects-audio-screenshots-and-plenty-of-other-user-data-for-ad-targeting
- Ars Technica – Does opting out of smart TV tracking work? Research finds ”suspicious” traffic – 21.10.2026, klo 21.00 (Europe/Helsinki) – https://arstechnica.com/gadgets/2026/10/does-opting-out-of-smart-tv-tracking-work-research-finds-suspicious-traffic/
- CyberInsider – Smart TV privacy study finds tracking persists even when opting out – 22.10.2026, klo 18.23 (Europe/Helsinki) – https://cyberinsider.com/smart-tv-privacy-study-finds-tracking-persists-even-when-opting-out/
- Samsung – Samsung Smart TV Automatic Content Recognition (ACR) Feature – https://www.samsung.com/us/support/smart-tv-acr/
Vastuuvapauslauseke: Tämä artikkeli on tarkoitettu vain tiedotustarkoituksiin. Sitä ei tarjota tai ole tarkoitettu käytettäväksi oikeudellisena, verotuksellisena, sijoitus-, rahoitus- tai muuna neuvona.
Mainos: jutun lopussa on kumppanimainoksia ja mainoslinkkejä. Kryptouutiset.net voi saada provision, jos rekisteröidyt palveluun kutsukoodin tai linkin kautta. Tämä kaupallinen yhteistyö ei vaikuta uutisten sisältöön tai toimituksellisiin johtopäätöksiin.
