Araştırma: Bağlı araçlar üçüncü taraf reklam ve izleme alan adlarına yöneliyor

Araştırma neyi inceliyor

Araştırmacılar, ABD pazarından 21 aracı ve 30 üreticinin uygulamalarını Ekim 2024'ten Ağustos 2025'e kadar kontrollü bir ortamda test ettiler. Araçlardan ve uygulamalardan Wi-Fi ve mobil bağlantı ile gönderilen ve alınan verileri incelediler; kişisel bilgilere, alıcılara ve üreticilerin yanıtlarına dikkat ettiler.

Araç testleri için Raspberry Pi, köprüleşmiş erişim noktası olarak kullanıldı ve tcpdump trafiği kaydetti. Araştırmacılar hedef alan adlarını tanımlayabildiler ancak şifrelenmiş paketlerin içeriğini açamadılar. Sabit hareket ve boşluk testleri gerçekleştirdiler ve araçlar 5 ila 45 mil/s hızla hareket etti. Ayrıca, engellenen mobil trafiğin Wi-Fi'ya geçip geçmediğini test etmek için 11 elektromobili, yaklaşık 93 dB atenüasyon sağlayan araç boyutunda bir Faraday kafesine yerleştirdiler.

Hassas veriler üçüncü taraflara ulaştı

21 araçtan 19'u en az bir üçüncü tarafa, bunlar arasında reklam ve izleme ile ilişkili alan adlarına Wi-Fi ile bağlandı. Araştırma tüm ABD üreticilerini kapsamıyor ve sonuçları test edilen araçları ve dönemi yansıtıyor.

30 uygulamadan 7'si hassas tanımlayıcıları reklam ve izleme ile ilişkili üçüncü taraflara iletti. Tanımlayıcılar arasında araç kimlik numaraları, e-posta adresleri, telefon numaraları ve tam konum yer alıyordu. Kişisel bilgilerin bir kişi için birkaç biçimde gönderilmesi, reklam kullanıcılarının ayrıntılı profillerinin oluşturulmasına olanak tanıyor.

Uygulamalar veri sızıntısını artırdı

Uygulamanın bağlanması, araçtan reklam ve izleme şirketlerine giden trafiği ortalama ikiye katladı. Bazı durumlarda uygulama 20'den fazla ek şirket ekledi. Araştırmacılar, uygulama analizine dahil edildiğinde sahiplerin 20'den fazla ek izleme aracı hakkında bilgilendirildiği durumları belirttiler.

Uygulama testleri için, mitmproxy ile bağlantılı root sertifikalı iPhones kullanıldı; bu sertifikalar ağ trafiğini kaydetmek ve şifresini çözmek için kullanıldı. Kurulum ve giriş sırasında testçilerden izleme, konum, takvim, Bluetooth ve mesajlar dahil gerekli izinler istendi. Daha sonra araç konumu, şarj istasyonları bulma, servis bilgileri, mesajlar ve bagajın uzaktan açılması gibi mevcut işlevleri kullandılar.

Üreticiler sorumluluğu geri çevirdi

Ekip, bulgularını araştırmada yer alan üreticilere iletti. Yanıtlar sürekli olarak sorumluluğu kullanıcılara yükledi; sahipleri verilerinin paylaşılıp paylaşılmayacağını seçemiyor. Karşı çıkan sahipler sözleşmeler alabilir, uzaktan başlatma ve uygulamalar gibi bağlı işlevleri kullanmayı durdurabilir veya aracını tamamen kullanmayı bırakabilir.

Honda, tam konum verisini kullanıcının izlemesiyle ilişkili üçüncü taraflara göndermemek için veri toplama uygulamasını değiştirdiği için dikkate değer bir istisnaydı. Genel olarak araştırmacılar, açıklamalar ile veri paylaşımının gerçek davranışı arasında bir boşluk buldular. Bağlı araçlar ekosisteminde daha iyi şeffaflık talep ettiler.