Машины и их приложения сливают данные рекламщикам

Исследователи Северо-Восточного университета (Northeastern University) в США проверили 21 новый автомобиль и 30 фирменных приложений автопроизводителей. 19 машин отправляли данные хотя бы одной сторонней компании, а 28 приложений обращались к рекламным или аналитическим сервисам. Результаты 11 октября пересказал Engadget.

Тест шёл с октября 2024 по август 2025 года на машинах из парка Consumer Reports. Зашифрованный трафик самих автомобилей исследователи расшифровать не смогли, а мобильную связь перехватили только у Tesla Model 3. Поэтому реальный объём передачи данных, скорее всего, больше.

Главным каналом слежки оказались приложения. Десять машин сами по себе не связывались ни с одним рекламным или трекинговым доменом. Но при подключении к смартфону Buick Envista открывал владельца для 23 рекламных и трекинговых компаний, а Nissan Ariya — для 25. Tesla Model 3 обращалась к 22 таким компаниям напрямую из машины, приложение добавляло ещё две.

Кто передаёт VIN

Семь приложений передавали рекламным и аналитическим компаниям идентификаторы: VIN-номер, адрес почты и точное местоположение. Четыре приложения GM, myCadillac, myChevrolet, myBuick и myGMC, отправляли VIN десяти компаниям, включая Microsoft и Adobe. VIN-номера также уходили Pinterest, Snap, Yahoo, Meta, Google и брокеру данных Acxiom.

HondaLink отправляла VIN и геолокацию аналитической компании Amplitude, в список попали также приложения Lincoln и MyNISSAN. VIN, в отличие от рекламного идентификатора телефона, нельзя сбросить. В связке с почтой он позволяет отслеживать владельца в разных приложениях и на сайтах.

Что ответили автопроизводители

Исследователи обратились к 17 производителям и получили 14 ответов. Все заявили, что передача данных соответствует их договорам с подрядчиками. Семь компаний сказали, что владелец сам должен читать и принимать условия каждого стороннего сервиса, включая предустановленный софт. GM заявила, что передаёт данные только подрядчикам, которым договор запрещает их продавать.

Что-то изменила только Honda. Она попросила Amplitude удалить данные о местоположении и обновила HondaLink, чтобы приложение их больше не отправляло. Tesla и Rivian предупреждают, что отказ от сбора данных ограничит функции машины, например навигацию и обновления по воздуху.

В январе Федеральная торговая комиссия США (FTC) окончательно утвердила предписание для GM: компания должна получать явное согласие на сбор и передачу данных подключённых машин. Тесты проходили до этого решения, и нарушений предписания исследователи не утверждают. Соавтор работы Дэвид Чоффнес считает, что вмешаться должны регуляторы. Проверяли американские версии машин и приложений, распространяется ли это на другие рынки, в исследовании не сказано.

Источники: Engadget — исследование Northeastern University о передаче данных автомобилями