دراسة: السيارات المتصلة تشارك بيانات السائق مع عشرات الشركات

قاس باحثو الخصوصية في Northeastern University، بالتعاون مع Consumer Reports، حركة البيانات المرورية لـ 21 سيارة و30 تطبيقًا مرافقًا. أُجري الاختبار في مركز Consumer Reports في كونيتيكت، وكانت موديلات السنوات 2022-2025. وُصفت النتائج في ورقة بعنوان „Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem“، ومن المقرر تقديمها في أكتوبر في ACM Internet Measurement Conference.

ما الذي درسوه

في عام 2023، قرأت Mozilla Foundation سياسات أكثر من عشرين شركة تصنيع سيارات وخلصت إلى أن „السيارات هي أسوأ فئة من حيث الخصوصية عرفناها على الإطلاق“. والآن سجّل الباحثون حركة بيانات سيارات حقيقية أثناء التوقف والقيادة وتشغيل النظام الترفيهي. وُضعت إحدى عشرة سيارة كهربائية داخل قفص Faraday لمعرفة ما إذا كانت الحركة تنتقل عبر Wi-Fi. لم يكن ممكنًا رؤية محتوى الحزم، لكن تحليل DNS وTLS أظهر إلى أين كانت تذهب البيانات.

من تلقّى البيانات

اتصلت كل السيارات بنطاق الشركة المصنّعة، بينما لم تتصل Buick Envista وMercedes-Benz EQS إطلاقًا بنطاقات إعلانية أو تحليلية تابعة لجهات خارجية. اتصل Tesla Model 3 بـ 34 نطاقًا إعلانيًا ومراقبًا وتحليليًا، وكذلك بـ 37 نطاقًا لتطبيقات مدمجة في النظام الترفيهي، وهو أعلى رقم في الاختبار. أثناء الحركة، كان Cybertruck يتصل بـ 26 نطاقًا خارجيًا أكثر مما يتصل به عند التوقف. كانت نطاقات Alphabet هي الأكثر ظهورًا، ويعزو المؤلفون ذلك إلى انتشار Android Automotive OS؛ فـ doubleclick.net وgooglesyndication.com ليسا ضروريين للخدمات الأساسية. وظهرت كثيرًا Spotify وSirius XM وHERE وTomTom وMapbox.

التطبيقات ترسل الاسم وVIN والموقع

من بين 30 تطبيقًا، كانت 28 تطبيقات ترسل البيانات إلى شركة إعلانات أو تحليلات خارجية واحدة على الأقل، بينما نقلت سبعة منها اسم المالك أو VIN أو الموقع الدقيق إلى جهة خارجية. ولوحظت مشاركة VIN مع البريد الإلكتروني أو الموقع في أربعة تطبيقات من General Motors (myCadillac، myChevrolet، myBuick، myGMC)، وكذلك في HondaLink وMyNissan. ومن بين المصنّعين، جرى تصنيف General Motors وToyota وNissan كالأسوأ، ومن بين المتلقين Alphabet وAmazon وMeta وMicrosoft وPinterest وSnap وReddit.

الموافقة والعقود والتنظيم

تواصل الباحثون مع 17 شركة تصنيع سيارات، وأجابت 14 منها (Fisker أُغلقت بالفعل). وصرّحت جميعها بأن العقود تمنع الجهات الخارجية من استخدام البيانات الشخصية خارج النطاق المتفق عليه. وأحال بعضها المسؤولية إلى متصفح النظام الترفيهي ورسائل cookie، بينما أشارت سبع شركات إلى أن قراءة كل شروط الخدمة مسؤولية المستخدم. وغالبًا ما يعني الرفض فقدان ميزات: فـ Tesla تحذر من أن السيارة „قد تنخفض وظائفها، أو تتعرض لأضرار جسيمة، أو تصبح غير قابلة للعمل“ في حال الرفض. وبعد رؤية النتائج، طلبت Honda من المورّد Amplitude حذف بيانات الموقع التي جُمعت ووقف إرسالها. ووفقًا لـ Consumer Reports، فرض المنظمون غرامات على مصنّعي السيارات بسبب الإفصاح غير الكافي، وقاضوا بعضهم في المحكمة.