Команда Северо-Восточного университета США совместно с Consumer Reports провела исследование 21 автомобиля 19 марок и 30 мобильных приложений. Как сообщает университет, среди получателей информации оказались аналитические компании и посредники, работающие с данными пользователей.
Важная деталь: исследователи отдельно проверяли автомобили и приложения на смартфонах. Зашифрованный трафик самих автомобилей прочитать не удалось — команда видела, к каким серверам они обращаются. Зато в приложениях удалось установить, какую именно информацию передавали наружу. Таким образом, само по себе соединение автомобиля со сторонним сервером ещё не доказывает передачу персональных данных.
Что узнают сторонние компании
Передача личной информации была обнаружена в приложениях HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick и myGMC. Наборы данных различались в зависимости от приложения: речь шла о VIN, электронных адресах, телефонных номерах или координатах. В частности, HondaLink отправлял VIN и точную геолокацию аналитическому сервису Amplitude.
Добавьте GSMinfo в источники в Google News Чтобы видеть наши публикации в своей ленте новостей
VIN — это постоянный идентификатор конкретного автомобиля. В сочетании с контактными данными владельца он потенциально позволяет связать автомобиль с активностью человека на сайтах, в приложениях и с историей покупок. Исследователи отмечают: такая возможность создает риск детального профилирования пользователей.
Для проверки команда направляла трафик через собственное сетевое оборудование, в частности Raspberry Pi и мобильную точку доступа. Автомобили со встроенной сотовой связью также тестировали в экранированной конструкции, которая блокировала внешний сигнал.
После получения результатов компания Honda попросила Amplitude удалить переданные данные и обновила приложение HondaLink, прекратив отправку геолокационных данных в этот сервис. При этом автопроизводитель заявил, что договор и ранее запрещал Amplitude продавать эти данные или использовать их в собственных целях.
Авторы исследования призывают производителей четко объяснять, кому и зачем они передают информацию, а также предоставлять возможность отказаться от такого обмена без потери основных функций автомобиля.
