✨︎ Resumen (TL;DR):
- Samsung restringió el registro de nuevas apps de Smart TV con funciones de proxy residencial y trabaja para retirar las que ya integran esos componentes.
- Mnemonic encontró SDKs de Bright Data en juegos de Play.Works, incluido un Pac-Man licenciado. La empresa afirma tener más de 400 juegos y presencia en más de 400 millones de hogares.
- Tras aceptar una pantalla de consentimiento, el servicio podía seguir activo en segundo plano hasta eliminar la app. Instalar el juego no lo activaba automáticamente.
Samsung informó el 3 de agosto de 2026 que restringió el registro de nuevas apps de Smart TV con funciones de proxy residencial y que trabaja para retirar las que ya contienen esos componentes. La medida llegó después de que la firma noruega de ciberseguridad Mnemonic encontrara SDKs de Bright Data en juegos de Play.Works, entre ellos un Pac-Man licenciado, capaces de encaminar tráfico web de terceros por la conexión doméstica del televisor. En ciertos casos, el servicio podía seguir funcionando después de cerrar la app, aunque la instalación no convertía automáticamente la TV en un proxy.
Un proxy residencial es una tecnología que utiliza la dirección IP y la conexión de un hogar real para hacer que las solicitudes de otra persona parezcan originarse desde esa vivienda. Puede tener usos legítimos, como la recopilación de datos públicos, pero también dificulta atribuir scraping abusivo, fraude y ciberataques.
Un portavoz de Samsung dijo a TechCrunch:
“Ya restringimos el registro de nuevas aplicaciones que incorporan este tipo de funciones de proxy en nuestra plataforma de Smart TV. Actualmente estamos implementando políticas estrictas para desarrolladores en toda la plataforma que prohíben explícitamente los SDK de proxies residenciales, y trabajamos para identificar y retirar todas las aplicaciones disponibles en nuestra tienda que contengan estos componentes.”
Samsung no identificó las apps afectadas ni explicó si desactivará automáticamente las instalaciones existentes. Tampoco dio un calendario para completar la revisión de su tienda.
Bright Data apareció dentro de juegos de Play.Works
Mnemonic analizó un televisor Samsung con Tizen al que obtuvo acceso de root para revisar sus componentes y el tráfico de red. El equipo encontró el SDK de Bright Data dentro de varias apps desarrolladas por Play.Works, una empresa que afirma tener más de 400 juegos y presencia en más de 400 millones de hogares.
Entre las aplicaciones estaba un juego licenciado de Pac-Man, que Samsung había mostrado en la sección “Editor’s Choice” de su tienda. La investigación identificó tres elementos:
- El SDK de Bright Data estaba incluido en el paquete de varios juegos.
- Un servidor remoto podía decidir si el componente permanecía inactivo o se activaba.
- Después de que el usuario aceptaba una pantalla de consentimiento, un servicio de Tizen podía seguir funcionando aunque abandonara la app.
El hallazgo no significa que instalar Pac-Man convirtiera automáticamente cada televisor en un proxy. En la prueba de Mnemonic, el SDK estaba inactivo por defecto. Sin embargo, su configuración podía cambiarse a distancia y otro juego del mismo conjunto mostró una opción para activar el servicio.
Harrison Sand, consultor de seguridad ofensiva en Mnemonic, resumió la dificultad de revisar este tipo de apps: “Lo que se revisó no necesariamente es lo que está ejecutándose.”
Cerrar la app no detenía el proxy
Una vez que el usuario aceptaba el consentimiento, el servicio podía mantenerse activo en segundo plano hasta que la aplicación fuera eliminada. Eso ampliaba el riesgo más allá del momento en que alguien jugaba o utilizaba la app.
Durante sus pruebas, Mnemonic observó tráfico que parecía relacionado con la extracción de perfiles de LinkedIn y la recopilación de datos para entrenar sistemas de inteligencia artificial. El investigador aclaró que solo pudo observar una fracción pequeña del tráfico y no estableció que cada solicitud fuera maliciosa.
El análisis tampoco describió el SDK como malware oculto. El componente estaba inactivo por defecto y mostraba una pantalla de consentimiento. La preocupación estaba en que una persona podía aceptar el aviso sin comprender que estaba permitiendo que terceros utilizaran la conexión de su hogar, además de que el servicio podía seguir ejecutándose después de cerrar el juego.
El código remoto complica la revisión de apps
La decisión de Samsung llegó después de que LG anunciara en julio que suspendería apps capaces de convertir sus televisores en nodos de proxy residencial. El movimiento de ambas compañías responde a investigaciones que encontraron este tipo de SDKs en juegos, protectores de pantalla y utilidades aparentemente sencillas.
Muchas apps de Smart TV funcionan como envoltorios mínimos. El paquete enviado a la tienda puede contener apenas unas líneas de código, mientras que el contenido principal se carga desde un servidor externo después de la instalación.
Ese modelo permite corregir errores sin publicar una actualización, pero también dificulta que la tienda compruebe todo lo que la aplicación puede ejecutar con el paso del tiempo. Una revisión inicial puede aprobar el paquete original y no detectar un cambio posterior en la configuración remota.
La documentación oficial de Samsung para el registro de aplicaciones ya indica que la funcionalidad de proxy residencial, incluido BrightData SDK, no está permitida en las apps de Smart TV. El reto está en aplicar esa regla a las aplicaciones que ya están disponibles y a los componentes que descargan código después de superar la revisión.
Qué significa para quienes tienen una TV Samsung
Para los propietarios de un televisor Samsung, la investigación no demuestra que todas las apps con esos SDKs se hayan utilizado para actividades criminales ni que cada instalación haya expuesto automáticamente la conexión doméstica. El dato confirmado es más acotado: algunas aplicaciones incluían la capacidad técnica para hacerlo y Samsung intenta retirar ese modelo de monetización de su plataforma.
La compañía todavía no identificó las aplicaciones afectadas, no aclaró qué ocurrirá con las instalaciones existentes y no fijó una fecha para terminar la revisión. El pendiente consiste en revisar el paquete aprobado y lo que una app puede cargar o activar después de instalarse.
En una Smart TV, ese servicio puede continuar detrás de escena y utilizar la misma conexión que protege el resto de la red doméstica.
