Дослідження: більшість нових автомобілів передають дані водія третім особам

Що показало дослідження

Дослідження кібербезпеки Northeastern University проаналізувало мережевий трафік 21 нового автомобіля та 30 автододатків у парку Consumer Reports з жовтня 2024 року по серпень 2025 року. 19 з 21 автомобіля надіслали дані щонайменше одній третій стороні через Wi-Fi, а 28 з 30 додатків підключилися щонайменше до однієї рекламної або аналітичної компанії.

Сім додатків передали рекламним і аналітичним фірмам ідентифікатори, зокрема VIN-номери, електронні адреси та точне місцезнаходження. Чотири з них належать General Motors: myCadillac, myChevrolet, myBuick та myGMC; кожен із них надіслав VIN-номери 10 компаніям, серед яких Microsoft та Adobe. Додатки GM також надіслали VIN-номери Pinterest, Snap, Yahoo, Meta, Google та Acxiom. HondaLink надіслав VIN-номери та місцезнаходження Amplitude, а додатки Lincoln та MyNISSAN склали повний список.

Чому приховати VIN складніше, ніж ID телефона

На відміну від рекламного ID телефона, VIN неможлито скинути, тому зв'язок із електронною поштою дає рекламним компаніям можливість з'єднувати активність власника в інших додатках і на веб-сайтах. За даними Consumer Reports, 10 з 21 автомобіля самі не підключалися до рекламних або трекінгових доменів. Серед них були Buick Envista та Nissan Ariya, але разом із додатками власники були пов'язані з 23 та 25 такими компаніями. Tesla навпаки: Model 3 сама досягла 22 компаній, а додаток додав ще дві.

Дослідники зазначили, що не змогли розшифрувати трафік автомобілів і отримали лише дротові дані з Model 3, тому реальні цифри, ймовірно, вищі. Для більшості перевірених автомобілів основна частина впливу рекламних технологій надходила не з самого автомобіля, а з телефонного додатка.

Виробники посилаються на контракти та політику

GM із січня підпадає під 20-річні правила конфіденційності FTC, коли агентство підтвердило штраф через скандал із даними водіїв компанії. Правила забороняє GM продавати дані водіїв агентствам протягом п'яти років і вимагає чіткої згоди перед збором або поширенням пов'язаних із автомобілом даних. Тести Northeastern проводилися до цього рішення, і дослідники не встановили порушення.

GM заявила Northeastern Global News, що повідомляє дані лише тим постачальникам послуг, які за контрактом зобов'язані не продавати їх або використовувати для власних цілей. Дослідники звернулися до 17 виробників і отримали відповіді від 14; усі заявили, що потоки даних відповідають їхнім вендорським контрактам. Сім з них зазначили, що врешті-решт відповідальність лежить на власнику — читати та приймати умови для всіх сторонніх сервісів у автомобілі, включаючи попередньо встановлені програми, а п'ять звинуватили трекінг у веб-сайтах, відкритих у їхніх додатках.

Дослідники також переглянули політики конфіденційності семи додатків, які поділилися ідентифікаторами; кожен визнав, що може передавати персональні дані третім особам, але не уточнював, кому і чому. Tesla попереджає власників, які відключають обмін даними, про «знижену функціональність, серйозну шкоду або сумісність», тоді як Rivian стверджує, що вимкнення збору обмежує або вимикає навігацію та over-the-air оновлення. Honda, схоже, єдина, хто погоджується щось змінити: вони попросили Amplitude видалити місцезнаходження та оновили HondaLink, щоб припинити надсилання цих даних, що підтвердив представник Honda.

Дослідники закликають регуляторів втрутитися

Професор Northeastern і співавтор дослідження David Choffnes заявив Northeastern Global News, що регулятори повинні втрутитися.

Джерела: Engadget