Исследование показало, сколько данных современные автомобили передают сторонним компаниям
Исследование Северо-Восточного университета и Consumer Reports показало, что 19 из 21 протестированного автомобиля с подключением к интернету связывались как минимум с одним сторонним сервером. Мобильные приложения для этих автомобилей показали ещё более тревожные результаты: 28 из 30 протестированных приложений обменивались данными с рекламными, аналитическими сервисами или сервисами отслеживания, а некоторые также передавали идентификационный номер автомобиля (VIN), имя пользователя или его точное местоположение.
Важная оговорка: исследование не доказало, что каждый пакет данных, отправленный автомобилем третьей стороне, содержал персональные данные. Сетевой трафик автомобилей был зашифрован, поэтому исследователи могли определить, с какими серверами связывалась машина, но не всегда — какие сведения содержались в передаваемых пакетах. В случае с приложениями им удалось гораздо точнее установить состав передаваемых данных.
Автомобили Tesla связывались с десятками доменов для отслеживания пользователей и рекламы
Исследователи протестировали 21 автомобиль 19 марок в разных условиях: на стоянке, во время движения и при использовании мультимедийной системы. Все автомобили связывались с серверами своих производителей, как и следовало ожидать для работы подключённого автомобиля.
Кроме того, 19 автомобилей связывались как минимум с одной третьей стороной. В ходе испытаний выделились Tesla Model 3 и Cybertruck. Model 3 связывалась с 34 доменами рекламных сервисов, сервисов отслеживания или аналитики, а также ещё с 37 доменами, которые использовались приложениями в автомобиле. У некоторых машин, например Buick Envista и Mercedes-Benz EQS, при тестировании такой картины не наблюдалось: они связывались преимущественно с сервисами своих производителей.
Большая доля доменов Google неудивительна: некоторые производители используют Android Automotive. Однако исследователи также обнаружили соединения с такими сервисами, как DoubleClick и Google Syndication, основное назначение которых — реклама и отслеживание пользователей, а не обеспечение работы автомобиля.
Мобильное приложение может передавать больше данных, чем сам автомобиль
Ещё более явные риски для конфиденциальности выявились при изучении приложений производителей для смартфонов.
Из 30 приложений 28 обменивались данными как минимум с одной компанией, занимающейся рекламой, аналитикой или отслеживанием пользователей. Некоторые приложения добавляли в поток данных пользователя более 20 новых сторонних компаний. Больше всего таких контактов исследователи обнаружили у приложений General Motors, Toyota и Nissan.
По данным Северо-Восточного университета, в некоторых случаях третьи стороны получали имя пользователя, адрес электронной почты, VIN и точное местоположение. Это позволяет связать конкретный автомобиль и его владельца с другими профилями, составленными на основе данных из интернета и приложений.
После общения с исследователями Honda изменила свою систему и перестала передавать данные о точном местоположении как минимум одной компании, занимающейся отслеживанием пользователей.
Согласие есть, но контроля часто не хватает
Автопроизводители сообщили исследователям, что использование данных регулируется договорами и политиками конфиденциальности. Проблема в том, что покупатели зачастую дают согласие, просто принимая условия использования приложения или подключённого сервиса.
Семь производителей заявили, что ознакомиться с условиями должен сам клиент. При этом отказ от передачи данных может лишить покупателя функций, за которые он, по сути, уже заплатил: например, дистанционного запуска двигателя, отображения местоположения автомобиля или других подключённых сервисов.
Таким образом, выбор оказывается довольно условным: пользователи могут ограничить передачу данных, но взамен им приходится отказываться от части функций автомобиля.
GDPR защищает водителей в Европе, но проблема сохраняется
Исследование охватывало автомобили и приложения на рынке США, поэтому его результаты нельзя напрямую переносить на европейский рынок. В Европейском союзе GDPR устанавливает значительно более строгие требования к сбору и обработке персональных данных, а пользователи имеют более широкие права на доступ к своим данным, требование об их удалении или ограничение их обработки.
Тем не менее техническая проблема остаётся прежней. Современные автомобили оснащены мобильной связью, GPS, микрофонами и камерами; они также могут подключаться к телефону и облачным сервисам. Автомобиль фактически превратился в подключённый к сети компьютер на колёсах.
Поэтому главный вывод исследования — не в том, что «все автомобили шпионят». Более точный вывод звучит менее приятно: значительная часть потоков данных подключённого автомобиля попросту недоступна для наблюдения и контроля со стороны его владельца.
