Samochód wie, gdzie jesteśmy, aplikacja zna numer VIN, a część tych informacji może trafiać poza serwery producenta. Badacze z Northeastern University we współpracy z Consumer Reports sprawdzili 21 współczesnych aut i 30 powiązanych z nimi aplikacji. Wyniki pokazują, jak rozbudowany stał się ekosystem zbierania danych wokół nowych samochodów.
19 z 21 aut wysyłało dane dalej
Badanie objęło 21 samochodów z 19 marek. Naukowcy analizowali ruch sieciowy generowany przez pojazdy oraz aplikacje producentów, sprawdzając przede wszystkim, z jakimi zewnętrznymi domenami nawiązywane są połączenia.
W przypadku 19 z 21 samochodów wykryto komunikację z co najmniej jedną firmą trzecią, czyli podmiotem innym niż producent auta. Ponad połowa pojazdów kontaktowała się z domenami zaklasyfikowanymi jako związane z reklamą, śledzeniem lub analityką.
Tesla Model 3 na drugim biegunie niż Mercedes
Szczególnie rozbudowany ruch sieciowy odnotowano w Tesli Model 3. Samochód kontaktował się z 34 domenami związanymi z reklamą, śledzeniem lub analityką, a kolejne 37 domen pochodziło z aplikacji zintegrowanych z systemem multimedialnym.
Na drugim biegunie znalazł się Mercedes-Benz EQS. W przeprowadzonym teście jego komunikacja nie wychodziła poza domenę należącą do producenta. To istotne rozróżnienie, bo samo połączenie samochodu z serwerami nie oznacza jeszcze przekazywania danych reklamodawcom lub brokerom danych.
Aplikacja może wiedzieć jeszcze więcej
Osobną częścią badania było 30 aplikacji mobilnych powiązanych z samochodami. W siedmiu przypadkach stwierdzono przekazywanie podmiotom trzecim danych pozwalających na identyfikację użytkownika lub pojazdu. Wśród nich znajdowały się numery VIN, adresy e-mail, numery telefonów oraz dokładne dane lokalizacyjne.
fot. Mercedes
Badacze wskazali m.in. aplikacje Hondy i Nissana. Po przedstawieniu wyników Honda zwróciła się do firmy Amplitude o usunięcie przekazanych wcześniej danych dotyczących lokalizacji i numerów VIN, a także zaktualizowała aplikację, aby nie wysyłała już danych geolokalizacyjnych do tej firmy.
Co właściwie mogą ustalić badacze?
W przypadku samych samochodów naukowcy byli w stanie ustalić, z jakimi domenami komunikują się pojazdy, ale ze względu na szyfrowanie nie mogli odczytać całej przesyłanej treści. Więcej informacji udało się pozyskać z aplikacji mobilnych, których transmisję można było przeanalizować dokładniej.
Wśród często pojawiających się odbiorców ruchu znalazły się duże firmy technologiczne. Consumer Reports wymienia m.in. Amazon, Google, Meta i Microsoft, a Northeastern wskazuje także usługi analityczne i brokerów danych. Takie identyfikatory mogą potencjalnie pozwalać na łączenie informacji o konkretnym samochodzie lub użytkowniku z danymi pochodzącymi z innych usług.
Można odmówić, ale jest haczyk
Użytkownik może w niektórych przypadkach ograniczyć zakres zbierania danych. Problem w tym, że rezygnacja może wiązać się z utratą części funkcjonalności samochodu lub usług sieciowych. Badacze postulują więc model, w którym kierowca aktywnie zgadza się na dodatkowe przetwarzanie danych, zamiast otrzymywać je jako domyślne ustawienie.
Sarah Elizabeth Gillespie, współautorka badania, podsumowała problem następująco:
Nie wygląda na to, by konsument mógł kupić nowy samochód, który go nie śledzi.
Trzeba przy tym pamiętać o istotnym ograniczeniu: test dotyczył samochodów, aplikacji i usług używanych w Stanach Zjednoczonych. Nie można automatycznie zakładać, że zakres transmisji danych w europejskich wersjach tych samych samochodów i aplikacji jest identyczny. Materiał źródłowy również zwraca uwagę na tę różnicę.
