Сучасні автомобілі постійно збирають і кудись передають дані — більше половини передають інформацію рекламодавцям

Сучасні автомобілі перетворилися на смартфони на колесах і збирають величезні обсяги даних про місцезнаходження, швидкість, стиль водіння та інші дії власника. Дослідження показало, що всі протестовані автомобілі передавали ці дані як мінімум одному сторонньому домену. Більше половини зверталися до доменів, що спеціалізуються на рекламі, відстеженні та аналітиці. Законність таких дій залишається предметом гарячих суперечок.

Джерело зображення: unsplash.com

Минулого року Федеральна торгова комісія США оштрафувала General Motors за незаконний збір і продаж точних даних про місцезнаходження та поведінку за кермом без обізнаного згоди. Ford і Honda були оштрафовані за те, що надмірно ускладнили клієнтам можливість відмовитися від збору даних. Аналітики давно підозрювали, що інші автовиробники роблять те ж саме, але нещодавно ця практика піддалася повноцінному систематичному розслідуванню.

Щоб отримати повну картину, дослідники проаналізували 21 автомобіль останніх моделей від 19 автовиробників, що продаються в даний час у США, а також 30 супутніх мобільних додатків, пов'язаних з активними автомобілями. Команда прагнула відповісти на важливі питання: які автомобілі передають дані? Хто їх отримує? Перетинають чи вони міжнародні кордони? І яка саме особиста інформація розкривається?

За словами керівника проєкту Девіда Чоффнеса (David Choffnes), мета полягала в тому, щоб показати масштаби відстеження даних сучасними автомобілями та підкреслити, наскільки погано обізнані про це власники і як мало контролю вони отримують над цим процесом.

Для трафіку, що надсилається безпосередньо з автомобілів, команда визначила домени призначення, включаючи різні сторонні компанії, що займаються відстеженням. Це було зроблено за допомогою перехоплення трафіку Wi-Fi. Дослідники помістили Raspberry Pi в кожен автомобіль, підключивши його до Wi-Fi автомобіля і направивши інтернет через мобільну точку доступу. Така конфігурація дозволила їм відстежувати вихідний Wi-Fi-трафік під час руху автомобіля.

Джерело зображення: Tesla

Для збору даних про стільниковий трафік знадобився більш креативний підхід. Щоб уникнути розгортання несанкціонованої базової станції стільникового зв'язку, команда побудувала клітку Фарадея розміром з автомобіль, яка блокувала всі сигнали між автомобілем і зовнішніми вишками стільникового зв'язку, змушуючи автомобіль переключатися на контрольоване Wi-Fi-з'єднання.

Результати виявилися вражаючими: кожен з 21 автомобіля передавав дані як мінімум одному сторонньому домену. Більше половини зверталися до доменів, що спеціалізуються на рекламі, відстеженні або аналітиці (Advertising, Tracking, Analytics, ATA). Ці компанії, такі як Adobe, LexisNexis і Amplitude, збирають інформацію про автомобіль або поведінку власника за кермом, щоб продавати її страховым компаніям або показувати цільову рекламу.

Автомобілі, оснащені передовими інформаційно-розважальними системами, особливо ті, що працюють під управлінням операційної системи Google Android Automotive з сервісами Google Automotive, зверталися до найбільшої кількості сторонніх доменів. Чоффнес зазначив, що вибір програмної платформи автовиробником безпосередньо впливає на обсяг даних, що надходять третім сторонам. Платформа Google, наприклад, включає вбудовані механізми для зв'язку як з власними сервісами Google, так і з зовнішніми організаціями.

«Багато з відстеження ми також бачимо через додатки, вбудовані в автомобіль, — зазначив Чоффнес. — Таким чином, автомобілі по суті перетворюються на глобальні смартфони». Мобільні додатки є настільки ж небезпечним вектором. Команда виявила, що сім супутніх додатків — HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick і myGMC — передавали конфіденційні дані, такі як ідентифікаційні номери транспортних засобів (VIN), номери телефонів і точне місцезнаходження, безпосередньо в рекламні мережі. Більше 70 % протестованих супутніх додатків зверталися як мінімум до п'яти унікальних доменів ATA.

Дослідників особливо занепокоїло зіставлення VIN-номера автомобіля з ідентифікованими персональними даними, що дозволяє брокерам даних створювати детальні досьє на окремих водіїв. За словами Чоффнеса, «ці дані надходять у компанії, з якими більшість споживачів, ймовірно, не мають жодних відносин або про які ніколи не чули».

Джерело зображення: designerspics.com

Автовиробники відреагували на результати дослідження неоднозначно. Деякі захищали свою практику, стверджуючи, що вона відповідає законодавству, в той час як інші визнавали вразливості і випускали програмні виправлення. Honda, наприклад, вимагала від свого постачальника аналітичних послуг Amplitude видалити всі зібрані дані про місцезнаходження.

На думку Чоффнеса, найсерйозніша проблема полягає в тому, що споживачі рідко розуміють, на що вони погоджуються, купуючи підключений автомобіль або налаштовуючи його додаток. Більшість водіїв не будуть сидіти на парковці автосалону, читаючи складні політики конфіденційності на крихітному екрані приладової панелі, перш ніж погодитися з умовами.

«Я думаю, що в результаті цього знизилося довір'я, — вважає Чоффнес. — Автовиробникам слід було б повернути це довір'я. І один із способів зробити це — підвищити прозорість і допомогти споживачам уникнути збору даних про них після здійснення дійсно дорогої покупки без більш явної згоди, а не відмови».

Хочеш дізнатися більше — читай відгуки