Современные автомобили всё чаще сравнивают со смартфонами на колёсах — и не зря. Как и телефоны, они собирают огромные объёмы данных: маршруты поездок, скорость, стиль торможения и поворотов.
Законность такого сбора данных остаётся спорной. В прошлом году Федеральная торговая комиссия США оштрафовала General Motors за незаконный сбор и продажу данных о местоположении и манере вождения без согласия владельцев. Ford и Honda получили небольшие штрафы за усложнение отказа от сбора данных.
Исследователи из Northeastern University совместно с Consumer Reports провели масштабное исследование приватности подключённых автомобилей. Они изучили 21 автомобиль от 19 брендов и 30 связанных мобильных приложений.
Для перехвата Wi-Fi трафика в машины устанавливали Raspberry Pi, подключённый к бортовой сети. Для анализа сотового трафика построили специальную палатку Фарадея размером с автомобиль, блокирующую сигналы вышек и вынуждающую машину использовать контролируемый Wi-Fi.
Результаты оказались тревожными: все 21 автомобиль передавали данные хотя бы одному стороннему домену через Wi-Fi. Больше половины связывались с сервисами рекламы, трекинга и аналитики — Adobe, LexisNexis, Amplitude и другими.
Автомобили с продвинутыми информационно-развлекательными системами, особенно на Android Automotive OS с сервисами Google, связывались с наибольшим числом сторонних доменов. Выбор программной платформы напрямую влияет на объём передаваемых данных.
«Много данных передаётся через встроенные в машину приложения. Автомобили фактически превращаются в глобальные смартфоны», — отметил руководитель проекта Дэвид Чоффнес.
Мобильные приложения оказались не менее уязвимы. Семь приложений — HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick и myGMC — передавали VIN-номера, телефоны и точное местоположение напрямую рекламным сетям. Более 70% протестированных приложений связывались минимум с пятью доменами трекинга.
Особую тревогу вызвало сочетание VIN-номера с персональными данными — это позволяет брокерам данных создавать подробные досье на конкретных водителей.
Автопроизводители отреагировали по-разному: некоторые заявили о законности практик, другие признали проблемы и выпустили исправления. Honda потребовала от Amplitude удалить собранные данные о местоположении и обновила приложение HondaLink.
По мнению Чоффнеса, главная проблема в том, что потребители редко понимают, на что соглашаются при покупке подключённого автомобиля. Он считает, что автопроизводителям стоит вернуть доверие через прозрачность и явное согласие на сбор данных, а не автоматическое включение по умолчанию.