gik|iewicz

Samochody z łącznością wysyłają dane kierowców do zewnętrznych firm – w tym do domen reklamowych i śledzących – wykazało badanie Automatic Transmission, przeprowadzone we współpracy z Consumer Reports. Analiza objęła 21 pojazdów oraz 30 towarzyszących im aplikacji mobilnych, a jej wyniki opisują m.in. przesyłanie numerów VIN i innych identyfikatorów osobowych.

TL;DR: Badanie Automatic Transmission, zrealizowane we współpracy z Consumer Reports, objęło 21 pojazdów z łącznością i 30 aplikacji towarzyszących. Aż 19 samochodów łączyło się przez Wi-Fi z serwerami zewnętrznych firm, w tym z domenami reklamowymi i śledzącymi. Ponadto 7 aplikacji wysyłało wrażliwe dane identyfikacyjne, a 5 przesyłało numer VIN razem z innymi danymi osobowymi.

Co to jest badanie Automatic Transmission i kto je przeprowadził?

Automatic Transmission to badanie prywatności danych w samochodach z łącznością, którego opis opublikowano na stronie automatictransmission.khoury.northeastern.edu. Projekt powstał we współpracy z Consumer Reports, a jego celem było sprawdzenie, jak i z kim pojazdy dzielą się danymi kierowców.

Wyniki pokazują skalę zjawiska. Połączenia z serwerami firm trzecich wykryto w zdecydowanej większości badanej floty, a wśród kontaktowanych domen znalazły się domeny reklamowe oraz śledzące. Pełne zestawienie metodologii i wyników znajdzie czytelnik na stronie projektu, a relacje z badania opisali m.in. Ars Technica oraz Consumer Reports.

Najważniejsze jest to, że badanie patrzyło na cały ekosystem – zarówno na sam samochód, jak i na aplikację, którą kierowca instaluje w telefonie. Dzięki temu można było zobaczyć łączną ekspozycję danych, a nie tylko ruch generowany przez pojazd.

Ilu producentów aut wysyła dane do serwerów zewnętrznych?

19 z 21 badanych pojazdów łączyło się przez Wi-Fi z serwerami firm trzecich – to główny wniosek badania Automatic Transmission w zakresie komunikacji samochodów. Wśród kontaktowanych serwerów znajdowały się domeny należące do firm reklamowych i śledzących, co oznacza, że ruch z auta nie ograniczał się do infrastruktury samego producenta.

W praktyce wygląda to inaczej, niż wielu właścicieli zakłada. Samochód stojący w garażu i podłączony do domowej sieci Wi-Fi potrafi nawiązywać połączenia niezależnie od aktywności kierowcy. Relacja z badania na łamach InsideEVs opisuje szeroko zakrojoną komunikację z firmami reklamowymi i analitycznymi.

Oto, co wynika z pomiarów w zwięzłej formie:

• 21 pojazdów z łącznością poddano analizie w ramach badania
• 19 samochodów kontaktowało serwery zewnętrzne przez Wi-Fi
• wśród domen znalazły się serwisy reklamowe oraz śledzące
• ruch sieciowy badano razem z powiązanymi aplikacjami mobilnymi
• badanie powstało we współpracy z Consumer Reports

Z tej perspektywy samochód przestaje być tylko środkiem transportu – staje się urządzeniem sieciowym, które generuje własny ruch. Choć produenci chwytają łączność jako atut, wyniki pokazują jej drugą stronę.

Jakie dane samochody wysyłają do firm technologicznych?

Badanie wykazało, że pojazdy oraz ich aplikacje przekazują dane pozwalające zidentyfikować kierowcę i samochód. Według Consumer Reports chodzi m.in. o lokalizacje, numery VIN oraz inne identyfikatory. Wskazuje to, że przesyłane informacje nie są anonimowymi statystykami telemetrii, lecz danymi, które da się powiązać z konkretną osobą i konkretnym pojazdem.

Numer VIN zasługuje na osobną uwagę. To unikalny numer identyfikacyjny pojazdu, a w połączeniu z innymi danymi osobowymi staje się solidnym identyfikatorem. Dlatego fakt, że aplikacje wysyłają go razem z dodatkowymi informacjami, ma realne znaczenie dla prywatności.

Serwis Motor1 opisuje wyniki badania następująco: 21 pojazdów z łącznością oraz 30 aplikacji towarzyszących wysyłało dane kierowcy i pojazdu do firm zewnętrznych. Gadget Review z kolei nazywa samochód z łączności „najbardziej inwazyjnym urządzeniem, jakie posiadasz” i wskazuje, że dane trafiają zarówno do reklamodawców, jak i do obcych osób – pełny opis znajduje się w tym materiale.

Jaką rolę odgrywają aplikacje towarzyszące w udostępnianiu danych?

Aplikacje mobilne dołączane do samochodów znacząco zwiększają ekspozycję danych kierowcy. W ramach badania 7 aplikacji wysłało wrażliwe informacje identyfikacyjne do firm reklamowych i śledzących, a 5 z nich przesyłało numer VIN razem z innymi danymi osobowymi. Skala kontaktu z firmami reklamowymi rośnie dodatkowo, gdy kierowca korzysta zarówno z auta, jak i z aplikacji.

Materiały z badania wskazują na kilka mechanizmów tej ekspozycji:

• aplikacje komunikują się z domenami reklamowymi i śledzącymi
• przesyłają wrażliwe dane identyfikacyjne firmom trzecim
• wysyłają numer VIN wraz z innymi danymi osobowymi
• łączne użycie aplikacji i pojazdu zwiększa liczbę firm otrzymujących dane
• aplikacje stanowią drugi, równoległy kanał wycieku obok samego auta

Innymi słowy, nawet właściciel, który teoretycznie mógłby unikać połączeń sieciowych w aucie, instalując aplikację producenta w telefonie, nadal trafia w obszar zainteresowania firm reklamowych. Ars Technica podsumowuje to krótko: między samochodami a ich aplikacjami użytkownik jest wystawiony na działanie wielu trackerów. Z tego powodu badanie Automatic Transmission analizuje oba kanały jednocześnie – i to właśnie takie podejście pozwala zobaczyć pełen obraz tego, co dzieje się z danymi kierowcy.

Jakie aplikacje wysłały dane identyfikacyjne do reklamodawców?

Według wyników badania Automatic Transmission 7 z 30 przeanalizowanych aplikacji mobilnych wysłało wrażliwe informacje identyfikacyjne do firm reklamowych i śledzących. Ponadto 5 aplikacji przesyłało numer VIN razem z innymi danymi identyfikującymi osobę. To drugi, równoległy kanał ekspozycji danych, który istnieje niezależnie od ruchu sieciowego generowanego przez sam pojazd.

Materiały projektu pokazują przy tym, że problem narasta wraz z użyciem. Im częściej kierowca korzysta z aplikacji towarzyszącej, tym więcej firm reklamowych otrzymuje jego dane. Innymi słowy, właściciel może ograniczyć łączność w aucie, ale instalacja aplikacji producenta w telefonie otwiera kolejną drogę przepływu informacji.

Ars Technica podsumowuje ten aspekt badania krótko: między samochodami a ich aplikacjami użytkownik jest wystawiony na działanie wielu trackerów. Z tego powodu wyniki aplikacji i pojazdów należy czytać razem – pojedynczy pomiar jednego kanału dawałby zaniżony obraz rzeczywistej ekspozycji danych kierowcy.

Czy numer VIN w rękach firm reklamowych jest realnym problemem?

Tak, ponieważ numer VIN to unikalny identyfikator pojazdu, a przesyłany razem z innymi danymi osobowymi pozwala powiązać aktywność z konkretnym człowiekiem. Badanie wykazało, że 5 aplikacji wysyłało VIN właśnie w takim zestawieniu – nie jako anonimowy ciąg znaków, lecz w pakiecie z informacjami identyfikującymi kierowcę.

Wobec tego wartość tego numeru dla firm reklamowych jest praktyczna. Połączenie VIN z danymi o lokalizacji czy użytkowaniu auta tworzy trwały profil, którego nie da się łatwo zmienić – podobnie jak numeru nadwozia samochodu. To odróżnia te dane od np. identyfikatorów reklamowych w przeglądarce, które użytkownik może zresetować.

Gadget Review opisuje samochód jako „najbardziej inwazyjne urządzenie, jakie posiadasz” i wskazuje, że dane trafiają zarówno do reklamodawców, jak i do obcych osób – pełny opis znajduje się w tym materiale. Choć to mocne sformułowanie, zestawienie VIN z danymi osobowymi daje mu konkretne uzasadnienie w wynikach pomiarów.

Co wynika z raportu Consumer Reports o danych lokalizacyjnych?

Consumer Reports podaje, że badanie wykazało przesyłanie danych kierowcy do dużych firm technologicznych, w tym lokalizacji, numerów VIN oraz innych identyfikatorów. Lokalizacja jest tu szczególnie wrażliwa, ponieważ pozwala odtworzyć trasy i miejsca odwiedzane przez właściciela pojazdu, a w połączeniu z VIN przypisać je konkretnej osobie.

Relacja na łamach Consumer Reports opisuje przepływ tych danych do Big Tech, co pokazuje, że odbiorcy nie ograniczają się do infrastruktury producenta auta. Podobnie Motor1 relacjonuje, że 21 pojazdów oraz 30 aplikacji wysyłało dane kierowcy i pojazdu do firm zewnętrznych.

Skalę zjawiska potwierdza także InsideEVs, opisując szeroką komunikację z firmami reklamowymi i analitycznymi wykrytą w badanej flocie. Dane lokalizacyjne stanowią w tym zestawieniu najbardziej osobną kategorię – z tego powodu ich obecność w przesyłanych informacjach ma znaczenie wykraczające poza zwykłą telemetrię.

Jak można ograniczyć wysyłanie danych z połączonego samochodu?

Dostępne materiały wskazują na kilka kierunków, choć zakres możliwości zależy od konkretnego pojazdu i aplikacji. Gadget Review, opisując badanie, porusza również temat ochrony przed zbieraniem danych. Z wyników projektu wynika natomiast jasno, gdzie powstaje ekspozycja – w ruchu Wi-Fi auta oraz w aplikacjach towarzyszących – a zatem tam można szukać punktów zaczepienia.

Praktyczne kroki wynikające z wyników badania i relacji na jego temat:

• sprawdź, z jakimi sieciami łączy się samochód, zanim podłączysz go do Wi-Fi
• oceń, czy aplikacja towarzysząca jest ci naprawdę potrzebna – 7 z 30 badanych aplikacji wysyłało dane identyfikacyjne do firm reklamowych
• zapoznaj się z ustawieniami prywatności zarówno auta, jak i aplikacji producenta
• pamiętaj, że łączne korzystanie z auta i aplikacji zwiększa liczbę firm otrzymujących dane
• śledź wyniki badań typu Automatic Transmission przed zakupem pojazdu z łącznością

Temat domyślnego zbierania danych bez zgody użytkownika pojawia się nie tylko w motoryzacji. Pokrewny problem opisuje tekst o tym, jak Atlassian włącza domyślne zbieranie danych do trenowania AI, a także materiał o tym, dlaczego nie można ufać ustawieniom prywatności i bezpieczeństwa macOS. Wobec tego kwestia zgody i domyślnych ustawień to szerszy wzorzec, a problem samochodowy wpisuje się w niego.

Często zadawane pytania

Ilu producentów samochodów wzięło udział w badaniu?

Badanie Automatic Transmission objęło 21 pojazdów z łącznością oraz 30 towarzyszących im aplikacji mobilnych. Analiza obejmowała zarówno ruch sieciowy pojazdów, jak i zachowanie aplikacji instalowanych przez kierowców w telefonach.

Czy samochody łączą się z domenami reklamowymi bez wiedzy właściciela?

Wyniki badania pokazują, że 19 z 21 badanych pojazdów łączyło się przez Wi-Fi z serwerami firm trzecich, w tym z domenami reklamowymi i śledzącymi. Połączenia mogły odbywać się, gdy auto stało podłączone do domowej sieci, niezależnie od aktywności kierowcy. Relacje na temat badania opisują tę komunikację jako znacznie szerszą, niż właściciele zwykle zakładają.

Co zgłosił Consumer Reports na temat danych z samochodów?

Consumer Reports podał, że nowe badanie wykazało przesyłanie danych kierowcy do dużych firm technologicznych, w tym lokalizacji, numerów VIN oraz innych identyfikatorów. Organizacja współtworzyła badanie Automatic Transmission razem z zespołem projektu. Relację na ten temat opublikowano w serwisie consumerreports.org.

Czy aplikacje samochodowe zbierają więcej danych niż samo auto?

Materiały z badania wskazują, że aplikacje stanowią drugi, równoległy kanał ekspozycji – 7 z 30 analizowanych aplikacji wysłało wrażliwe dane identyfikacyjne do firm reklamowych i śledzących, a 5 przesyłało VIN razem z innymi danymi osobowymi. Ars Technica podsumowuje, że między samochodem a jego aplikacją użytkownik jest wystawiony na działanie wielu trackerów. Łączne użycie obu kanałów zwiększa liczbę firm otrzymujących dane.

Podsumowanie

Wyniki badania Automatic Transmission można streścić w kilku punktach:

• 19 z 21 badanych pojazdów łączyło się przez Wi-Fi z serwerami firm trzecich, w tym z domenami reklamowymi i śledzącymi
• 7 z 30 aplikacji towarzyszących wysłało wrażliwe dane identyfikacyjne do firm reklamowych i śledzących
• 5 aplikacji przesyłało numer VIN razem z innymi danymi osobowymi
• Consumer Reports potwierdził przesyłanie lokalizacji, numerów VIN oraz innych identyfikatorów do dużych firm technologicznych
• analiza obu kanałów jednocześnie – auta i aplikacji – pokazuje pełny obraz ekspozycji danych kierowcy

Samochód z łącznością generuje własny ruch sieciowy, a aplikacja producenta dodaje do tego kolejny strumień danych. Jeśli planujesz zakup pojazdu z łącznością albo korzystasz z aplikacji towarzyszącej, sprawdź wyniki projektu Automatic Transmission na jego stronie oraz relacje Ars Technica i Consumer Reports. Podobne mechanizmy domyślnego zbierania danych opisujemy na bieżąco na blogu – na przykład w tekście o filtrze prywatności OpenAI. Sprawdź, z kim faktycznie rozmawia Twoje auto, zanim kolejna firma doda Cię do swojej bazy.