מחקר: מכוניות מחוברות משתפות נתוני נהגים עם עשרות חברות

חוקרי פרטיות מ-Northeastern University מדדו יחד עם Consumer Reports את התעבורה של 21 מכוניות ו-30 אפליקציות נלוות. הבדיקה נערכה בקונטיקט, במרכז של Consumer Reports, ושנות הדגמים היו 2022-2025. התוצאות מתוארות במאמר “Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem”, שיוצג באוקטובר בכנס ACM Internet Measurement Conference.

מה נחקר

ב-2023 קראה Mozilla Foundation את המדיניות של יותר מעשרים יצרניות רכב והסיקה ש“מכוניות הן הקטגוריה הגרועה ביותר מבחינת פרטיות שנחקרה אי פעם”. כעת החוקרים תיעדו תעבורה של מכוניות אמיתיות בעמידה, בנסיעה ובזמן פעולה של מערכת המולטימדיה. אחת עשרה מכוניות חשמליות הוכנסו לאוהל Faraday כדי לבדוק אם התעבורה עוברת ב-Wi-Fi. לא ניתן היה לראות את תוכן החבילות, אך ניתוח DNS ו-TLS הראה לאן הנתונים נשלחו.

מי קיבל את הנתונים

כל המכוניות התחברו לדומיין של היצרן, ואילו Buick Envista ו-Mercedes-Benz EQS כלל לא התחברו לדומיינים פרסומיים או אנליטיים של צד שלישי. Tesla Model 3 התחברה ל-34 דומיינים פרסומיים, מעקביים ואנליטיים, וכן ל-37 דומיינים של אפליקציות המוטמעות במערכת המולטימדיה, הנתון הגבוה ביותר בבדיקה. Cybertruck התחבר בזמן נסיעה ל-26 דומיינים נוספים של צד שלישי לעומת מצב עמידה. הדומיינים של Alphabet הופיעו בשכיחות הגבוהה ביותר, והמחברים מייחסים זאת לתפוצתה של Android Automotive OS; doubleclick.net ו-googlesyndication.com אינם נחוצים לשירותים הבסיסיים. לעיתים קרובות הופיעו Spotify, Sirius XM, HERE, TomTom ו-Mapbox.

אפליקציות שולחות שם, VIN ומיקום

מתוך 30 אפליקציות, 28 שלחו נתונים לפחות לחברה חיצונית אחת לפרסום או אנליטיקה, ושבע העבירו לצד שלישי שם בעלים, VIN או מיקום מדויק. שיתוף VIN עם דואר אלקטרוני או מיקום תועד בארבע אפליקציות של General Motors (myCadillac, myChevrolet, myBuick, myGMC), וכן ב-HondaLink וב-MyNissan. בין היצרניות, General Motors, Toyota ו-Nissan הוזכרו כגרועות ביותר, ובין המקבלים נמצאים Alphabet, Amazon, Meta, Microsoft, Pinterest, Snap ו-Reddit.

הסכמה, חוזים, רגולציה

החוקרים פנו ל-17 יצרניות רכב, ו-14 השיבו (Fisker כבר נסגרה). כולן הצהירו שהחוזים אוסרים על צד שלישי להשתמש בנתונים אישיים מחוץ לטווח המוסכם. חלק מהן העבירו את האחריות לדפדפן של מערכת המולטימדיה ולהודעות cookie, ושבע ציינו שקריאת כל תנאי השירות היא באחריות המשתמש. סירוב לעיתים קרובות פירושו אובדן תכונות: Tesla מזהירה שבמקרה של סירוב לרכב “עשויה להיות פונקציונליות מופחתת, להיגרם נזק חמור או להפוך ללא שמיש”. לאחר שראתה את התוצאות, Honda דרשה מהספק Amplitude למחוק נתוני מיקום שהתקבלו והפסיקה את שליחתם. לפי Consumer Reports, הרגולטורים קנסו יצרניות רכב על גילוי לא מספק, וחלקן אף נתבעו בבית משפט.