Дослідження: підключені автомобілі звертаються до доменів реклами та стеження третіх осіб

Що досліджувалось

Дослідники протестували в контрольованому середовищі 21 автомобіль на ринку США та 30 послідовних додатків виробників з жовтня 2024 року по серпень 2025 року. Вони дослідили дані, що передаються та отримуються з автомобілів і додатків через Wi-Fi та мобільний зв'язок, звернувши увагу на персональну інформацію, її одержувачів та відповіді виробників.

Для тестування автомобілів використовувався Raspberry Pi як точка доступу, а tcpdump записував трафік. Дослідники могли ідентифікувати домени призначення, але не могли розшифрувати вміст зашифрованих пакетів. Вони провели тести стаціонарного руху та швидкості, і автомобілі рухалися від 5 до 45 миль на годину. Також 11 електромобілів розмістили в фарадеївському ящику розміром з автомобіль, який забезпечує затухання приблизно 93 dB, щоб перевірити, чи переходить заблокований мобільний трафік на Wi-Fi.

Чутливі дані потрапили до третіх осіб

З 21 автомобіля 19 з'єдналися принаймні з однією третьою особою через Wi-Fi, зокрема з доменами, пов'язаними з рекламою та стеженням. Дослідження не охоплювало всіх виробників у США, і його результати відображають протестовані автомобілі та період.

З 30 послідовних додатків 7 передали чутливі ідентифікатори третім особам, пов'язаним з рекламою та стеженням. Серед ідентифікаторів були ідентифікаційні номери автомобілів, адреси електронної пошти, номери телефонів та точне місцезнаходження. Надсилання кількох форм персональної інформації одній особі дозволяє створювати детальні профілі користувачів для рекламних цілей.

Виробники переклали відповідальність

Команда передала свої висновки виробникам, представленим у дослідженні. Відповіді неодноразово перекладали відповідальність на користувачів, тоді як власники не можуть вибрати, чи будуть їхні дані передаватися. Власники, які виступають проти, можуть мусять прийняти договори, припинити використання пов'язаних функцій, таких як дистанційний запуск і послідовні застосунки, або взагалі припинити користуватися автомобілем.

Honda була помітним винятком, оскільки вона змінила практику збору даних, щоб точна геолокація більше не надсилалася третій стороні, пов'язаній з відстеженням користувача. Загалом дослідники виявили розрив між публічними заявами і фактичною поведінкою щодо обміну даними. Вони вимагали кращої прозорості в екосистемі підключених автомобілів.