კვლევა: დაკავშირებული ავტომობილები მძღოლის მონაცემებს ათეულობით კომპანიას უზიარებენ

Northeastern University-ს კონფიდენციალურობის მკვლევრებმა Consumer Reports-თან ერთად 21 ავტომობილისა და 30 თანმდევი აპლიკაციის ტრაფიკი გაზომეს. ტესტი კონექტიკუტში, Consumer Reports-ის ცენტრში ჩატარდა, მოდელის წლები 2022-2025 იყო. შედეგები სტატიაში „Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem“ აღწერია, რომელიც ოქტომბერში ACM Internet Measurement Conference-ზე წარდგება.

რა შეისწავლეს

2023 წელს Mozilla Foundation-მა ორ ათეულზე მეტი ავტომწარმოებლის პოლიტიკა წაიკითხა და დაასკვნა, რომ „ავტომობილები კონფიდენციალურობის კუთხით ყველაზე ცუდი კატეგორიაა, რაც კი ოდესმე შეგვისწავლია“. ახლა მკვლევრებმა რეალური მანქანების ტრაფიკი დააფიქსირეს უმოძრაოდ, მოძრაობისას და მულტიმედიური სისტემის მუშაობისას. თერთმეტი ელექტრომობილი Faraday-ის კარავში მოათავსეს, რათა გაერკვიათ, გადადიოდა თუ არა ტრაფიკი Wi-Fi-ზე. პაკეტების შიგთავსის ნახვა ვერ მოხერხდა, თუმცა DNS-ისა და TLS-ის ანალიზმა აჩვენა, სად მიდიოდა მონაცემები.

ვინ მიიღო მონაცემები

ყველა ავტომობილი მწარმოებლის დომენს დაუკავშირდა, Buick Envista და Mercedes-Benz EQS კი მესამე მხარის სარეკლამო თუ ანალიტიკურ დომენებთან საერთოდ არ დაკავშირებულან. Tesla-ს Model 3-მა 34 სარეკლამო, სამეთვალყურეო და ანალიტიკურ დომენს, ასევე მულტიმედიურ სისტემაში ჩაშენებული აპლიკაციების 37 დომენს დაუკავშირდა, რაც ტესტის ყველაზე მაღალი მაჩვენებელია. Cybertruck მოძრაობისას 26-ით მეტ მესამე მხარის დომენს უკავშირდებოდა, ვიდრე გაჩერებულზე. ყველაზე ხშირად Alphabet-ის დომენები ფიგურირებდა, რასაც ავტორები Android Automotive OS-ის გავრცელებას უკავშირებენ; doubleclick.net და googlesyndication.com ძირითადი სერვისებისთვის საჭირო არ არის. ხშირად გვხვდებოდა Spotify, Sirius XM, HERE, TomTom და Mapbox.

აპლიკაციები სახელს, VIN-სა და მდებარეობას აგზავნიან

30 აპლიკაციიდან 28 მონაცემებს მინიმუმ ერთ გარე სარეკლამო ან ანალიტიკურ კომპანიას უგზავნიდა, შვიდმა კი მესამე მხარეს მფლობელის სახელი, VIN ან ზუსტი მდებარეობა გადასცა. VIN-ის ელფოსტასთან ან მდებარეობასთან ერთად გაზიარება General Motors-ის ოთხ აპლიკაციაში (myCadillac, myChevrolet, myBuick, myGMC), ასევე HondaLink-სა და MyNissan-ში დაფიქსირდა. მწარმოებლებიდან ყველაზე ცუდად General Motors, Toyota და Nissan დასახელდნენ, მიმღებებს შორის კი Alphabet, Amazon, Meta, Microsoft, Pinterest, Snap და Reddit არიან.

თანხმობა, კონტრაქტები, რეგულირება

მკვლევრებმა 17 ავტომწარმოებერს მიმართეს, 14-მა უპასუხა (Fisker უკვე დაიხურა). ყველამ განაცხადა, რომ კონტრაქტები მესამე მხარეს პირადი მონაცემების შეთანხმებული ფარგლების გარეთ გამოყენებას უკრძალავს. ნაწილმა პასუხისმგებლობა მულტიმედიური სისტემის ბრაუზერსა და cookie-ს შეტყობინებებზე გადაიტანა, შვიდმა კი აღნიშნა, რომ ყველა სერვისის პირობების წაკითხვა მომხმარებლის საქმეა. უარი ხშირად ფუნქციების დაკარგვას ნიშნავს: Tesla აფრთხილებს, რომ უარის შემთხვევაში ავტომობილს „შესაძლოა შემცირდეს ფუნქციონალი, მიადგეს სერიოზული ზიანი ან გახდეს არაფუნქციონირებადი“. შედეგების ნახვის შემდეგ Honda-მ ვენდორს Amplitude-ს მიღებული მდებარეობის მონაცემების წაშლა მოსთხოვა და გაგზავნა შეწყვიტა. Consumer Reports-ის ცნობით, რეგულატორებმა ავტომწარმოებლები არასაკმარისი გამჟღავნებისთვის დააჯარიმეს, რამდენიმეს კი სასამართლოში უჩივლეს.