Araştırma: Yeni araçların çoğu sürücü verilerini üçüncü taraflarla paylaşıyor

Araştırma ne gösterdi

Northeastern University siber güvenlik araştırması, Consumer Reports filosunda Ekim 2024'ten Ağustos 2025'e kadar 21 yeni model aracın ve 30 otomotiv uygulamasının ağ trafiğini analiz etti. 21 aractan 19'u Wi-Fi ile verileri en az bir üçüncü taraf şirketine gönderdi; 30 uygulamadan 28'i en az bir reklam veya analitik şirketine bağlandı.

Yedi uygulama reklam ve analitik firmalara VIN'ler, e-postalar ve tam konumlar dahil tanımlayıcılar aktardı. Bunların dördü General Motors'a ait: myCadillac, myChevrolet, myBuick ve myGMC; her biri VIN'lerini Microsoft ve Adobe dahil 10 şirkete gönderdi. GM uygulamaları VIN'lerini ayrıca Pinterest, Snap, Yahoo, Meta, Google ve Acxiom'e gönderdi. HondaLink, VIN'leri ve konumu Amplitude'e gönderdi; Lincoln ve MyNISSAN uygulamaları ise listeyi daha da genişletti.

VIN'i gizlemek telefon kimliğinden neden daha zor

Telefonun reklam kimliğinin aksine, VIN'in sıfırlanması mümkün olmadığı için e-postayı ilişkilendirmek, reklam şirketlerine sahibinin başka uygulamalarda ve web sitelerindeki etkinliğini bağlama imkanı veriyor. Consumer Reports'a göre, 21 aractan 10'u kendi başına reklam veya izleme alan adlarına bağlanmıyordu. Bunlar arasında Buick Envista ve Nissan Ariya vardı, ancak uygulamalarla birlikte sahipler 23 ve 25 böyle şirketle bağlantı kurdu. Tesla tersine: Model 3 kendi başına 22 şirkete ulaştı, uygulama ise iki tane daha ekledi.

Araştırmacılar, araç trafiğinin şifresini çözemediklerini ve Model 3'ten yalnızca paket verilerini aldıklarını belirtti; bu nedenle gerçek sayılar muhtemelen daha yüksek. İncelenen araçların çoğu için reklam teknolojilerine maruz kalmanın temel kısmı araçtan değil, telefondaki uygulamadan geliyordu.

Üreticiler sözleşmeleri ve politikaları hafife alıyor

GM, Ocak'tan beri FTC'nin 20 yıllık gizlilik kararına tabi; ajans, şirketin sürücü verileri skandalının ardından bir cezayı onadı. Karar, GM'e beş yıl boyunca sürücü verilerini tüketici hesaplarını ajanslara satmaktan men ediyor ve bağlantılı araç verilerini toplamadan veya paylaşmadan önce açık rıza istiyor. Northeastern testi bu kararın önünde yapıldı ve araştırmacılar bir ihlal saptamadı.

GM, Northeastern Global News'e verilerinin yalnızca, bunları satmayı veya kendi amaçlarıyla kullanmayı sözleşmeyle yasaklayan hizmet sağlayıcılarla paylaştığını söyledi. Araştırmacılar 17 üreticiye başvurdu, 14'ünden yanıt aldı; hepsi veri akışlarının tedarikçi sözleşmelerine uygun olduğunu söyledi. Yedi üretici, sonuçta sahibinin araçtaki tüm üçüncü taraf hizmetlerin, önceden yüklü programlar dahil koşullarını okuyup kabul etmesinden sorumlu olduğunu belirtti; beşi ise izlemeyi, uygulamalarında açılan web sayfalarını suçladı.

Araştırmacılar ayrıca tanımlayıcıları paylaşan yedi uygulamanın gizlilik politikalarını inceledi; her biri kişisel verilerin üçüncü taraflara aktarılabileceğini kabul ediyordu ancak hangi tarafa ve neden olduğunu belirtmiyordu. Tesla, veri paylaşımını reddeden sahipleri „azaltılmış işlevsellik, ciddi hasar veya uyumluluk“ konusunda uyarıyor; Rivian ise toplamayı devre dışı bırakmanın navigasyonu ve over-the-air güncellemeleri kısıtlayacağını veya devre dışı bırakacağını söylüyor. Honda, değişiklik yapmayı kabul eden tek görünüyor: Amplitude'tan konum verilerinin silinmesini istedi ve HondaLink'i bunları göndermeyi durdurmak için güncelledi; bunu Honda temsilcisi doğruladı.

Araştırmacılar düzenleyicileri devreye sokmaya çağırıyor

Northeastern profesörü ve çalışmanın ortak yazarı David Choffnes, Northeastern Global News'e düzenleyicilerin devreye girmesi gerektiğini açıkladı.

Kaynaklar: Engadget