מחקר: מכוניות מחוברות נוטות לתחומי פרסום ומעקב של צדדים שלישיים

מה המחקר בחן

החוקרים בדקו בסביבה מבוקרת 21 מכוניות משוק ארה"ב ו-30 אפליקציות רציפות מיצרנים שונים מאוקטובר 2024 ועד אוגוסט 2025. הם חקרו את הנתונים היוצאים והנכנסים ב-Wi-Fi וברשת הסלולרית מהמכוניות ומהאפליקציות, והקשיבו למידע אישי, לנמענים שלו ולתגובות היצרנים.

לבדיקות המכוניות השתמשו ב-Raspberry Pi כנקודת הזרקה מאורגנת, ו-tcpdump תפס את התעבורה. לחוקרים היה אפשר לזהות תחומי יעד, אך לא הצליחו לפענח את תוכן החבילות המוצפנות. הם ביצעו בדיקות תנועה סטציונריות ובמצב שקט, והמכוניות נעו במהירות שערכה בין 5 ל-45 מייל לשעה. בנוסף הציבו 11 רכבים חשמליים בתוך כלוב פאראדיי שמכונית בגודל המכונית, המניכה כ-93 dB, כדי לבדוק אם תעבורה סלולרית חסומה מועברת ל-Wi-Fi.

מידע רגיש הגיע לצדדים שלישיים

מתוך 21 המכוניות, 19 התחברו לפחות לצד שלישי אחד ב-Wi-Fi, כולל לתחומים הקשורים לפרסום ולמעקב. המחקר לא כלל את כל היצרנים בארה"ב ותוצאותיו משקפות את המכוניות שנבדקו ואת התקופה הנסקרת.

מתוך 30 האפליקציות הרציפות, 7 שלחו מזהים רגישים לצדדים שלישיים הקשורים לפרסום ולמעקב. במזהים נכללו מספרי זיהוי של המכונית, כתובות אימייל, מספרי טלפון ומידע מיקום מדויק. שליחה של מספר צורות של מידע אישי לגבי אדם אחד מאפשרת יצירת פרופילים מפורטים של משתמשי פרסום.

האפליקציות הגדילו את ניצול הנתונים

החיבור של האפליקציה הרציפה הכפיל בממוצע את הכמות היוצאת מהמכונית לחברות פרסום ומעקב. במקרים מסוימים האפליקציה הוסיפה יותר מ-20 חברות מעקב נוספות. החוקרים ציינו מקרים שבהם הטמעת ניתוח האפליקציה חשפה שהבעלים הוכרזו על יותר מעשרים אמצעי מעקב נוספים.

לבדיקות האפליקציות השתמשו ב-iPhones עם אישורי root מותאמים, שהיו מחוברים ל-mitmproxy כדי לתפוס ולפענח תעבורת רשת. בעת ההתקנה והכניסה הבודקים אישרו את ההרשאות הנדרשות, כולל מעקב, מיקום, לוח שנה, Bluetooth והודעות. לאחר מכן הם השתמשו בפונקציות הזמינות, כגון מיקום המכונית, חיפוש תחנות טעינה, מידע שירות, הודעות ופתיחת מזוודה מרחוק.

היצרנים העבירו אחריות לאחור

הצוות מסר את ממצאיו ליצרנים המוצגים במחקר. התגובות העבירו באופן חוזר את האחריות למשתמשים, בטענה שהבעלים אינם יכולים לבחור אם הנתונים שלהם משותפים. בעלים שמתנגדים עשויים להיאלץ לקבל תנאי הסכמים, להפסיק להשתמש בפונקציות מחוברות כמו הפעלה מרחוק ואפליקציות רציפות, או להפסיק לגמרי את השימוש במכונית.

Honda הייתה חריגה בולטת, שכן שינתה את נהלי איסוף הנתונים כך שמיקום גיאוגרפי מדויק לא נשלח יותר לצדדים שלישיים הקשורים למעקב. בסך הכל החוקרים מצאו פער בין הצהרות ציבוריות לבין ההתנהגות הפועלת של שיתוף נתונים. הם קראו לשקיפות טובה יותר במערכת האקולוגית של מכוניות מחוברות.