Հետազոտություն. Նոր մեքենաների մեծ մասը վարորդի տվյալները կիսում է երրորդ կողմերի հետ

Ինչ ցույց տվեց հետազոտությունը

Northeastern University-ի կիբերանվտանգության հետազոտությունը Consumer Reports-ի ավտոպարկում վերլուծել է 21 նոր մոդելի մեքենայի և 30 ավտոհավելվածի ցանցային տրաֆիկը 2024 թվականի հոկտեմբերից մինչև 2025 թվականի օգոստոսը։ 21 մեքենայից 19-ը Wi-Fi-ով տվյալներ է ուղարկել առնվազն մեկ երրորդ կողմ ընկերության, իսկ 30 հավելվածներից 28-ը կապվել է առնվազն մեկ գովազդային կամ վերլուծական ընկերության հետ։

Յոթ հավելված գովազդային և վերլուծական ընկերություններին փոխանցել է նույնացուցիչներ, այդ թվում՝ VIN-ներ, էլփոստեր և ճշգրիտ տեղադրություններ։ Դրանցից չորսը պատկանում է General Motors-ին՝ myCadillac, myChevrolet, myBuick և myGMC; յուրաքանչյուրը VIN-ները ուղարկել է 10 ընկերության, այդ թվում՝ Microsoft-ին և Adobe-ին։ GM-ի հավելվածները VIN-ները նաև ուղարկել են Pinterest-ին, Snap-ին, Yahoo-ին, Meta-ին, Google-ին և Acxiom-ին։ HondaLink-ը VIN-ները և տեղադրությունը ուղարկել է Amplitude-ին, իսկ Lincoln-ի և MyNISSAN-ի հավելվածները լրացրել են ցանկը։

Ինչու է ավելի դժվար VIN-ը թաքցնելը, քան հեռախոսի ID-ն

Ի տարբերություն հեռախոսի գովազդային ID-ի՝ VIN-ի զրոյացումը անհնար է, դրա համար էլ էլփոստի հետ կապելը գովազդային ընկերություններին թույլ է տալիս այն կապել սեփականատիրոջ ակտիվության հետ այլ հավելվածներում և կայքերում։ Consumer Reports-ի տվյալներով՝ 21 մեքենայից 10-ն ինքնին չէր կապվում գովազդային կամ թրեքինգ դոմենների հետ։ Դրանց թվում էին Buick Envista-ն և Nissan Ariya-ն, սակայն հավելվածների հետ միասին սեփականատերերը կապվել են 23 և 25 նման ընկերությունների հետ։ Tesla-ի դեպքում հակառակն է՝ Model 3-ն ինքնին հասել է 22 ընկերության, իսկ հավելվածն ավելացրել է ևս երկուսը։

Հետազոտողները նշել են, որ չեն կարողացել վերծանել մեքենայի տրաֆիկը, և Model 3-ից վերցրել են միայն բջջային տվյալները, ուստի իրական ընդհանուր թվերը հավանաբար ավելի մեծ են։ Ստուգված մեքենաների մեծ մասի համար գովազդային տեխնոլոգիաներին ենթարկվածության հիմնական մասը գալիս էր ոչ թե մեքենայից, այլ հեռախոսի հավելվածից։

Ավտոարտադրողները վկայակոչում են պայմանագրերն ու քաղաքականությունը

GM-ը հունվարից գտնվում է FTC-ի 20-ամյա գաղտնիության հրամանի ներքո, երբ գործակալությունը հաստատեց պատիժը ընկերության վարորդի տվյալների սկանդալի պատճառով։ Հրամանը GM-ին հինգ տարով արգելում է վարորդի տվյալները վաճառել սպառողների մասին հաշվետվություն տրամադրող գործակալություններին և պահանջում է հստակ համաձայնություն՝ կապված մեքենայի տվյալների հավաքումից կամ կիսումից առաջ։ Northeastern-ի փորձարկումն անցկացվել է այս հրամանից առաջ, և հետազոտողները խախտում չեն ապացուցել։

GM-ը Northeastern Global News-ին ասել է, որ տվյալները հայտնում է միայն այն ծառայություն մատուցողներին, որոնց պայմանագրով արգելված է դրանք վաճառել կամ օգտագործել իրենց նպատակներով։ Հետազոտողները դիմել են 17 արտադրողի և պատասխան ստացել 14-ից; բոլորը նշել են, որ տվյալների հոսքերը համապատասխանում են իրենց վենդորային պայմանագրերին։ Յոթը նշել են, որ ի վերջո սեփականատիրոջ պատասխանատվությունն է կարդալ և ընդունել պայմանները մեքենայում առկա բոլոր երրորդ կողմի ծառայությունների համար, այդ թվում՝ նախապես տեղադրված ծրագրերի, իսկ հինգը թրեքինգը վերագրել են իրենց հավելվածներում բացված կայքերին։

Հետազոտողները նաև վերանայել են այն յոթ հավելվածների գաղտնիության քաղաքականությունը, որոնք կիսել էին նույնացուցիչները. յուրաքանչյուրը ընդունում էր, որ կարող է անձնական տվյալներ փոխանցել երրորդ կողմերին, սակայն չէր նշում, թե որոնց և ինչու։ Tesla-ի տվյալների կիսմանը դեմ արտահայտվող սեփականատերերին զգուշացնում են «կրճատված ֆունկցիոնալություն, լուրջ վնաս կամ համատեղելիություն»-ի մասին, իսկ Rivian-ը հայտնում է, որ հավաքումն անջատելը կսահմանափակի կամ կանջատի նավիգացիան և over-the-air թարմացումները։ Honda-ն, ըստ երևույթին, միակն է, ով համաձայնում է ինչ-որ բան փոխել. այն խնդրել է Amplitude-ին ջնջել տեղադրությունը և թարմացրել է HondaLink-ը, որպեսզի դադարի դրանց ուղարկումը, ինչը հաստատել է Honda-ի ներկայացուցիչը։

Հետազոտողները կոչ են անում կարգավորիչներին միջամտել

Northeastern-ի պրոֆեսոր և հետազոտության համահեղինակ David Choffnes-ը Northeastern Global News-ին ասել է, որ կարգավորիչները պետք է միջամտեն։

Աղբյուրներ: Engadget