TL;DR:
- Samsung restringió el registro de nuevas apps para Smart TV con funciones de proxy residencial y prepara retirar las que ya contengan esos componentes.
- La investigación de Mnemonic encontró SDKs de Bright Data en juegos licenciados, incluido Pac-Man.
- El servicio podía continuar en segundo plano después de cerrar la app, aunque la televisión no se convertía automáticamente en proxy al instalarla.
Samsung dijo el 3 de agosto de 2026 que restringió el registro de nuevas apps para Smart TV con funciones de proxy residencial y que trabaja para retirar las que ya contengan esos componentes. La decisión llegó después de que la firma noruega de ciberseguridad Mnemonic encontrara software capaz de encaminar tráfico web de terceros a través de la conexión doméstica de un televisor. En ciertos casos, el servicio podía seguir activo en segundo plano después de cerrar la aplicación, convirtiendo la TV en un nodo de salida de una red de proxies residenciales.
Un proxy residencial utiliza la dirección IP y la conexión de un hogar real para hacer que las solicitudes de otra persona parezcan originarse desde esa vivienda. La tecnología tiene usos legítimos, como la recopilación de datos públicos, pero también puede dificultar la atribución de scraping abusivo, fraude y ciberataques.
Un portavoz de Samsung dijo a TechCrunch:
“Ya restringimos el registro de nuevas aplicaciones que incorporan este tipo de funciones de proxy en nuestra plataforma de Smart TV. Actualmente estamos implementando políticas estrictas para desarrolladores en toda la plataforma que prohíben explícitamente los SDK de proxies residenciales, y trabajamos para identificar y retirar todas las aplicaciones disponibles en nuestra tienda que contengan estos componentes.”
En esa declaración, Samsung no identificó las aplicaciones afectadas ni explicó si las instalaciones existentes serán desactivadas automáticamente. La compañía tampoco dio un calendario para completar la revisión de su tienda.
Un juego de Pac-Man llevaba el SDK en su interior
Mnemonic analizó un televisor Samsung con Tizen al que obtuvo acceso de root para revisar sus componentes y el tráfico de red. El equipo encontró el SDK de Bright Data dentro de varias apps desarrolladas por Play.Works, una empresa que afirma tener más de 400 juegos y presencia en más de 400 millones de hogares.
Entre las aplicaciones estaba un juego licenciado de Pac-Man, que Samsung había mostrado en la sección “Editor's Choice” de su tienda. La investigación describió tres elementos:
- El SDK de Bright Data estaba incluido dentro del paquete de varios juegos.
- Un servidor remoto podía decidir si el componente permanecía inactivo o se activaba.
- Después de aceptar una pantalla de consentimiento, un servicio de Tizen podía continuar funcionando aunque el usuario abandonara la aplicación.
El hallazgo no significa que instalar Pac-Man convirtiera automáticamente cada televisor en un proxy. En la prueba de Mnemonic, el SDK estaba inactivo por defecto. El problema era que su configuración podía cambiarse a distancia y que otro juego del mismo conjunto mostró una opción para activar el servicio.
Harrison Sand, consultor de seguridad ofensiva en Mnemonic, resumió la dificultad de revisar este tipo de apps:
“Lo que se revisó no necesariamente es lo que está ejecutándose.”
Cerrar la app no bastaba para detener el proxy
Una vez que el usuario aceptaba el consentimiento, el servicio podía mantenerse activo en segundo plano hasta que la aplicación fuera eliminada. Eso ampliaba el riesgo más allá del momento en que alguien jugaba o utilizaba la app.
Durante sus pruebas, Mnemonic observó tráfico que parecía relacionado con la extracción de perfiles de LinkedIn y la recopilación de datos para entrenar sistemas de inteligencia artificial. El investigador aclaró que solo pudo observar una fracción pequeña del tráfico y no estableció que cada solicitud fuera maliciosa.
El análisis tampoco describió el SDK como malware oculto. El componente estaba inactivo por defecto y mostraba una pantalla de consentimiento. La preocupación estaba en que una persona podía aceptar el aviso sin comprender que estaba permitiendo que terceros utilizaran la conexión de su hogar, además de que el servicio podía seguir ejecutándose después de cerrar el juego.
La decisión de Samsung llega después de que LG anunciara en julio que suspendería apps capaces de convertir sus televisores en nodos de proxy residencial. El movimiento de ambas compañías responde a investigaciones que encontraron este tipo de SDKs en juegos, protectores de pantalla y utilidades aparentemente sencillas.
La revisión de apps enfrenta código que puede cambiar después
Muchas apps de Smart TV funcionan como envoltorios mínimos. El paquete enviado a la tienda puede contener apenas unas líneas de código, mientras que el contenido principal se carga desde un servidor externo después de la instalación.
Ese modelo permite corregir errores sin publicar una actualización, pero también dificulta que la tienda compruebe todo lo que la aplicación puede ejecutar con el paso del tiempo. Una revisión inicial puede aprobar el paquete original y no detectar un cambio posterior en la configuración remota.
La documentación oficial de Samsung para el registro de aplicaciones ya indica que la funcionalidad de proxy residencial, incluido BrightData SDK, no está permitida en las apps de Smart TV. El reto será aplicar esa regla a las aplicaciones que ya están disponibles y a los componentes que descargan código después de superar la revisión.
Para los propietarios de un televisor Samsung, la investigación no demuestra que todas las apps con esos SDKs hayan sido utilizadas para actividades criminales ni que cada instalación haya expuesto automáticamente la conexión doméstica. El dato confirmado es que algunas aplicaciones incluían la capacidad técnica para hacerlo y que Samsung ahora intenta retirar ese modelo de monetización de su plataforma.
La nueva política coloca el problema donde corresponde: en la tienda y en los desarrolladores que incorporan software de terceros. Una app de televisión puede parecer pequeña e inofensiva en pantalla, pero su actividad real puede continuar detrás de escena y utilizar la misma conexión que protege el resto de la red doméstica.
