კვლევა: ახალი მანქანების უმეტესობა მძღოლის მონაცემებს მესამე მხარეებს უზიარებს

რას აჩვენა კვლევამ

Northeastern University-ის კიბერუსაფრთხოების კვლევამ Consumer Reports-ის ავტოპარკში გააანალიზა 21 ახალი მოდელის მანქანისა და 30 ავტოაპის ქსელური ტრაფიკი 2024 წლის ოქტომბრიდან 2025 წლის აგვისტომდე. 21 მანქანიდან 19-მა Wi-Fi-ით მონაცემები მინიმუმ ერთ მესამე მხარე კომპანიას გაუგზავნა, 30 აპიდან 28-მა კი მინიმუმ ერთ სარეკლამო ან ანალიტიკურ კომპანიას დაუკავშირდა.

შვიდმა აპმა სარეკლამო და ანალიტიკურ ფირმებს გადასცა იდენტიფიკატორები, მათ შორის VIN-ები, ელფოსტები და ზუსტი ლოკაციები. ოთხი მათგანი General Motors-ს ეკუთვნის: myCadillac, myChevrolet, myBuick და myGMC; თითოეულმა VIN-ები 10 კომპანიას გაუგზავნა, მათ შორის Microsoft-სა და Adobe-ს. GM-ის აპებმა VIN-ები ასევე გაუგზავნეს Pinterest-ს, Snap-ს, Yahoo-ს, Meta-ს, Google-ს და Acxiom-ს. HondaLink-მა VIN-ები და ლოკაცია Amplitude-ს გაუგზავნა, Lincoln-ისა და MyNISSAN-ის აპებმა კი სია შეავსეს.

რატომ უფრო ძნელია VIN-ის დამალვა, ვიდრე ტელეფონის ID-ის

ტელეფონის სარეკლამო ID-სგან განსხვავებით, VIN-ის განულება შეუძლებელია, ამიტომ ელფოსტასთან დაკავშირება სარეკლამო კომპანიებს მფლობელის აქტივობის სხვა აპებსა და ვებსაიტებთან დაკავშირების საშუალებას აძლევს. Consumer Reports-ის მიხედვით, 21 მანქანიდან 10 თავისთავად არ უკავშირდებოდა სარეკლამო ან თრექინგ დომენებს. მათ შორის Buick Envista და Nissan Ariya იყვნენ, მაგრამ აპებთან ერთად მფლობელები 23 და 25 ასეთ კომპანიასთან დაუკავშირდნენ. Tesla-მ პირიქით: Model 3-მა თავად 22 კომპანიას მიაღწია, აპმა კი ორი დაამატა.

მკვლევარებმა აღნიშნეს, რომ მანქანის ტრაფიკის გაშიფვრა ვერ შეძლეს და Model 3-დან მხოლოდ ფიჭური მონაცემები აიღეს, ამიტომ რეალური ჯამები სავარაუდოდ მეტია. შემოწმებული მანქანების უმეტესობისთვის სარეკლამო ტექნოლოგიებთან ექსპოზიციის ძირითადი ნაწილი მანქანიდან კი არა, ტელეფონის აპიდან მოდიოდა.

ავტომწარმოებლები კონტრაქტებსა და პოლიტიკას იშველიებენ

GM იანვრიდან FTC-ის 20-წლიანი კონფიდენციალურობის განკარგულების ქვეშაა, როცა სააგენტომ კომპანიის მძღოლის მონაცემების სკანდალის გამო სასჯელი დაამტკიცა. განკარგულება GM-ს ხუთი წლით კრძალავს მძღოლის მონაცემების მომხმარებელთა ანგარიშგების სააგენტოებისთვის მიყიდვას და მოითხოვს აშკარა თანხმობას დაკავშირებული მანქანის მონაცემების შეგროვებამდე ან გაზიარებამდე. Northeastern-ის ტესტირება ამ განკარგულებამდე ჩატარდა და მკვლევარებს დარღვევა არ დაუმტკიცებიათ.

GM-მა Northeastern Global News-ს უთხრა, რომ მონაცემებს მხოლოდ იმ სერვისის პროვაიდერებს აცნობს, რომლებსაც კონტრაქტით ეკრძალებათ მათი გაყიდვა ან საკუთარი მიზნებისთვის გამოყენება. მკვლევარებმა 17 მწარმოებელს მიმართეს და 14-ისგან მიიღეს პასუხი; ყველამ თქვა, რომ მონაცემთა ნაკადები მათ ვენდორულ კონტრაქტებს შეესაბამება. შვიდმა აღნიშნა, რომ საბოლოოდ მფლობელის პასუხისმგებლობაა წაიკითხოს და მიიღოს პირობები მანქანაში არსებული ყველა მესამე მხარის სერვისისთვის, მათ შორის წინასწარ დაყენებული პროგრამებისთვის, ხოლო ხუთმა თრექინგი მათ აპებში გახსნილ ვებგვერდებს დააბრალა.

მკვლევარებმა ასევე გადახედეს იმ შვიდი აპის კონფიდენციალურობის პოლიტიკას, რომლებმაც იდენტიფიკატორები გააზიარეს; თითოეული აღიარებდა, რომ შესაძლოა პერსონალური მონაცემები მესამე მხარეებს გადასცეს, მაგრამ არ აკონკრეტებდა რომელს და რატომ. Tesla-ს მონაცემთა გაზიარებაზე უარმყოფელ მფლობელებს აფრთხილებენ „შემცირებული ფუნქციონალი, სერიოზული ზიანი ან თავსებადობა“-ს შესახებ, Rivian კი ამბობს, რომ შეგროვების გამორთვა შეზღუდავს ან გამორთავს ნავიგაციასა და over-the-air განახლებებს. Honda, როგორც ჩანს, ერთადერთია, ვინც რაიმეს შეცვლას თანხმდება: Amplitude-ს ლოკაციის წაშლა სთხოვა და HondaLink-ი განაახლა, რომ მათი გაგზავნა შეწყვიტოს, რაც Honda-ს წარმომადგენელმა დაადასტურა.

მკვლევარები რეგულატორებს ჩარევისკენ მოუწოდებენ

Northeastern-ის პროფესორმა და კვლევის თანაავტორმა David Choffnes-მა Northeastern Global News-ს განუცხადა, რომ რეგულატორები უნდა ჩაერიონ.

წყაროები: Engadget