מחקר: רוב המכוניות החדשות משתפות נתוני נהיגה עם צדדים שלישיים

מה המחקר הראה

מחקר באבטחת סייבר של Northeastern University ניתח את התעבורה הרשתית של 21 דגם מכונית חדשים ו-30 אפליקציות של יצרני רכב במאגר הרכב של Consumer Reports, מאוקטובר 2024 ועד אוגוסט 2025. מתוך 21 המכוניות, 19 שלחו נתונים ב-Wi-Fi לפחות לחברת צד שלישי אחת; מתוך 30 האפליקציות, 28 התחברו לפחות לחברת פרסום או אנליטיקה אחת.

שבע אפליקציות מסרו לחברות פרסום ואנליטיקה מזהים, כולל VIN, כתובות דוא״ל ומיקומים מדויקים. ארבע מהן שייכות ל-General Motors: myCadillac, myChevrolet, myBuick ו-myGMC; כל אחת שלחה VIN ל-10 חברות, כולל Microsoft ו-Adobe. אפליקציות GM שלחו VIN גם ל-Pinterest, Snap, Yahoo, Meta, Google ו-Acxiom. HondaLink שלח VIN ומיקום ל-Amplitude, ואילו אפליקציות Lincoln ו-MyNISSAN מילאו רשימה.

למה קשה יותר להסתיר VIN מאשר מזהה טלפון

בניגוד למזהה פרסומות של טלפון, אי אפשר לאפס VIN, ולכן קישור לדוא״ל מאפשר לחברות פרסום לחבר את הפעילות של הבעיל עם אפליקציות ואתרים אחרים. לפי Consumer Reports, 10 מתוך 21 המכוניות לא התחברו מעצמן לדומייני פרסום או מעקב. ביניהן היו Buick Envista ו-Nissan Ariya, אך עם האפליקציות הבעילים התחברו ל-23 ו-25 חברות כאלה בהתאמה. Tesla פעלה הפוך: Model 3 הגיעה מעצמה ל-22 חברות, והאפליקציה הוסיפה שתיים.

החוקרים ציינו שלא הצליחו לפענח את תעבורת המכונית ולקחו מ-Model 3 רק נתונים מחוברים, ולכן הסכומים האמיתיים כנראה גבוהים יותר. עבור רוב המכוניות שנבדקו, חשיפה לטכנולוגיות פרסום לא הגיעה מהמכונית עצמה אלא מאפליקציית הטלפון.

יצרנים מקלים על חוזים ומדיניות

GM נמצאת תחת הוראות הסודיות של 20 שנה של FTC מאז ינואר, אחרי שסוכנות אישרה עונש על סרקל נתוני נהיגה של החברה. ההוראה אוסרת על GM למכור נתוני נהיגה לחשבונות לקוחות לסוכנויות במשך חמש שנים ומחייבת הסכמה מפורשת לפני איסוף או שיתוף נתוני מכונית מקושרים. הבדיקה של Northeastern נערכה לפני ההוראה, והחוקרים לא קבעו שהיה הופרה.

GM אמרה ל-Northeastern Global News שהיא מודיעה על נתונים רק לספקי שירות שמוגבלים בחוזה מפני מכירתם או שימוש בהם למטרות עצמיות. החוקרים פנו ל-17 יצרנים וקיבלו תשובה מ-14; כולם אמרו שזרמי הנתונים תואמים חוזי ספקים שלהם. שבעה ציינו שבסופו של דבר על הבעיל לקרוא ולאשר את התנאים עבור כל שירותי הצד השלישי במכונית, כולל תוכנות מותקנות מראש, וחמישה האשימו אתרים שנפתחו באפליקציותיהם במעקב.

החוקרים גם בדקו את מדיניות הפרטיות של שבע אפליקציות ששיתפו מזהים; כל אחת הודתה שעשויה למסור נתונים אישיים לצדדים שלישיים, אך לא פירטה למי ולמה. Tesla מזהירה בעלים שמסרבים לשיתוף נתונים מפני „פונקציונליות מופחתת, נזק חמור או תאימות“, ו-Rivian אומרת שכיבוי איסוף יגביל או יכבה ניווט ועדכוני over-the-air. Honda, ככל הנראה, היא היחידה שמסכימה לשנות משהו: היא ביקשה מ-Amplitude למחוק מיקום ועדכנה את HondaLink כדי להפסיק לשלוח אותו, מה שנציג Honda אישר.

החוקרים קוראים לרגולטורים להתערב

פרופסור ב-Northeastern ומחבר שותף של המחקר, David Choffnes, הצהיר ל-Northeastern Global News שעל הרגולטורים להיכנס לתמונה.

מקורות: Engadget