دراسة: معظم السيارات الجديدة تشارك بيانات السائق مع أطراف ثالثة

ماذا أظهرت الدراسة

حلّلت دراسة الأمن السيبراني في جامعة Northeastern حركة البيانات الشبكية لـ 21 سيارة جديدة و30 تطبيقًا من تطبيقات مصنّعي السيارات في أسطول Consumer Reports من أكتوبر 2024 إلى أغسطس 2025. من بين 21 سيارة، أرسلت 19 سيارة بيانات عبر Wi-Fi إلى شركة طرف ثالث واحدة على الأقل، ومن بين 30 تطبيقًا، اتصل 28 تطبيقًا بشركة إعلانية أو تحليلية واحدة على الأقل.

أرسلت سبعة تطبيقات معرّفات إلى شركات إعلانية وتحليلية، بما فيها أرقام VIN ورسائل البريد الإلكتروني والمواقع الدقيقة. أربعة منها تابعة لـ General Motors: myCadillac وmyChevrolet وmyBuick وmyGMC؛ حيث أرسل كل منها أرقام VIN إلى 10 شركات، منها Microsoft وAdobe. كما أرسلت تطبيقات GM أرقام VIN إلى Pinterest وSnap وYahoo وMeta وGoogle وAcxiom. أرسل HondaLink أرقام VIN والموقع إلى Amplitude، بينما ملأت تطبيقات Lincoln وMyNISSAN القائمة.

لماذا يصحّ إخفاء رقم VIN أصعب من معرّف الهاتف

على عكس معرّف الإعلانات في الهاتف، لا يمكن إلغاء رقم VIN، مما يتيح لشركات الإعلانات ربط البريد الإلكتروني بنشاط المالك في تطبيقات ومواقع أخرى. وفقًا لـ Consumer Reports، لم تتصل 10 سيارات من أصل 21 تلقائيًا بأي نطاقات إعلانية أو تتبع. من بينها Buick Envista وNissan Ariya، لكن مع التطبيقات اتصل المالكون بـ 23 و25 شركة على التوالي. في المقابل، وصلت Tesla Model 3 بنفسها إلى 22 شركة، وأضاف التطبيق اثنتين.

لاحظ الباحثون أنه لم يتمكنوا من فك تشفير حركة بيانات السيارة وحصلوا فقط على بيانات كهربائية من Model 3، لذا فإن الأرقام الفعلية من المرجح أن تكون أعلى. بالنسبة لمعظم السيارات التي تم فحصها، جاء الجزء الأكبر من التعرض لتقنيات الإعلانات من تطبيق الهاتف وليس من السيارة نفسها.

مصنّعو السيارات يغيّرون العقود والسياسات

تخضع GM منذ يناير لأمر FTC للخصوصية لمدة 20 عامًا، بعد أن أيدت الوكالة عقوبة بسبب فضيحة بيانات سائقي الشركة. يمنع هذا الأمر GM لمدة خمس سنوات من بيع بيانات السائقين لوكالات حسابات العملاء ويطلب موافقة صريحة قبل جمع أو مشاركة بيانات السيارة المرتبطة. أجرى Northeastern هذا الاختبار قبل صدور الأمر ولم يثبت الباحثون أي انتهاك.

أخبرت GM موقع Northeastern Global News أنها تُعلم البيانات فقط لمقدمي الخدمات الذين يُمنعون تعاقديًا من بيعها أو استخدامها لأغراضهم الخاصة. تواصل الباحثون مع 17 مصنّعًا وحصلوا على رد من 14؛ قالوا جميعًا إن تدفقات البيانات تتوافق مع عقود البائعين. أشار سبعة إلى أن المسؤولية النهائية تقع على عاتق المالك لقراءة وقبول شروط جميع خدمات الطرف الثالث في السيارة، بما فيها البرامج المثبتة مسبقًا، بينما ألقى خمسة باللوم على مواقع الويب المفتوحة في تطبيقاتهم.

راجع الباحثون أيضًا سياسات الخصوصية لسبعة تطبيقات شاركت المعرّفات؛ اعترف كل منها بأنه قد ينقل البيانات الشخصية إلى أطراف ثالثة، لكنه لم يحدد لمن ولماذا. تحذّر Tesla المالكين الرافضين لمشاركة البيانات من "وظائف مخفضة أو ضرر جسيم أو عدم توافق"، بينما تقول Rivian إن تعطيل الجمع سيقيّد أو يعطّل الملاحة والتحديثات over-the-air. يبدو أن Honda هي الوحيدة التي وافقت على تغيير شيء: طلبت من Amplitude حذف الموقع وأحدثت HondaLink لإيقاف إرسال بياناتها، وهو ما أكده متحدث باسم Honda.

الباحثون يدعون المنظمين للتدخل

صرّح البروفيسور في جامعة Northeastern والمؤلف المشارك في الدراسة David Choffnes لموقع Northeastern Global News أنه يجب على المنظمين التدخل.

المصادر: Engadget