Alle 21 biler sendte data til eksterne selskaber
En ny undersøgelse fra Northeastern University og Consumer Reports præsenterer et dystert billede af databeskyttelsen i moderne biler. Forskerne testede 21 aktuelle bilmodeller fra 19 fabrikanter og fandt, at hver eneste enkelt bil transmitterer personlige oplysninger til mindst ét eksternt domæne – ofte uden ejernes viden eller eksplicit samtykke.
Værre endnu: over halvdelen af bilerne kontaktede domæner specialiseret i reklamer, sporing og analyse. Selskaber som Adobe, LexisNexis og Amplitude modtager oplysninger om dit køretøj og dine kørevaner, som de sælger videre til forsikringsselskaber eller bruger til målrettet annoncering.
“Jeg tror, konklusionen er, at der er meget at være bekymret over,” siger David Choffnes, projektleder og tidligere direktør for Northeastern’s Institut for Cybersikkerhed og Privatlivsbeskyttelse, i et interview. Han understreger, at det egentlige problem ligger i, hvor lidt kontrol bilejere rent faktisk har over deres egne data.
Biler bliver til smartphones på hjul
Forskerne brugte en innovativ tilgang til at måle dataflowet. For Wi-Fi-trafik placerede de en Raspberry Pi inde i hver bil forbundet til køretøjets Wi-Fi, mens de routede internettrafik gennem en mobil hotspot. For at capture mobiltrafik – uden at etablere uautoriserede basestationers, der kunne forstyrre offentlige netværk – byggede teamet et bilstort Faraday-telt, som blokerede al signaltransmission mellem bilen og eksterne celletårne.
Bilerne med avancerede infotainmentsystemer, især dem baseret på Googles Android Automotive OS med Google Automotive Services, kontaktede flest tredjepartsdomæner. Det understreger, hvor kritisk valget af softwareplatform er for, hvor meget data der når ud til eksterne aktører.
“Meget af sporingen sker også gennem apps bygget ind i bilen,” siger Choffnes. “Biler bliver i essensen til globale smartphones.”
Companion-apps er lige så usikre – og værre
De separate bilkontrol-apps viste sig at være en enorm privatlivsbedrift. Syv apps – HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick og myGMC – sendte følsomme oplysninger som chassis-numre (VINs), telefonnumre og præcise lokaliseringskoordinater direkte til reklameselskaber. Over 70 procent af de testede apps kontaktede mindst fem forskellige sporings- eller reklamedomæner.
Særlig alarmerende er sammenkoblingen af en bils VIN med identifikationsdata, som giver databrokers mulighed for at opbygge detaljerede dossiers på individuelle chauffører. “Vi tænker: ‘Hvis dine online-selskaber kan spore, hvad du gør online – men du er i din bil – sporer de så også, hvilken bil du har?'” siger Choffnes. “Og ja, det gør de. Og det går til selskaber, som de fleste forbrugere sandsynligvis ikke har noget forhold til eller aldrig har hørt om.”
Lovgivningen haltede bagefter industrien
Spørgsmålet om lovligheden af denne dataindsamling debatteres stadig intenst. I fjor pålagde US Federal Trade Commission General Motors en bøde for ulovligt at indsamle og sælge præcise lokaliserings- og køreadfærdsdata uden informeret samtykke. Ford og Honda har fået mindre bøder for at gøre det urimelig svært for kunder at framelde sig dataindsamling.
Selvom branchekendere længe har været skeptiske over for, at andre bilfabrikanter gør det samme, havde praksis ikke været systematisk undersøgt – indtil nu. Undersøgelsen fra Northeastern og Consumer Reports er blandt de første omfattende analyser af dette omfang.
Bilfabrikanter kommer med blandede reaktioner
Nogle bilproducenter forsvarede deres praksis som lovligt i overensstemmelse med deres vilkår. Andre anerkendte sårbarhederne og udgav softwareopgraderinger. Honda bad for eksempel sin analyseudbyder Amplitude slette alle indsamlede lokaliseringsdata og opdaterede HondaLink-appen til at holde op med at transmittere geolokalisering, efter at have set Northeastern-teamets resultater.
Men Choffnes påpeger, at det dybere problem er, at forbrugere sjældent forstår, hvad de accepterer, når de køber en forbundet bil eller installerer dens app. De færreste chauffører sidder på forhandlerens parkeringsplads og læser tætte privatlivspolitikker på et lille dashboardskærm, før de accepterer betingelserne.
“Jeg tror ikke, der er meget tillid som følge af dette,” siger Choffnes. “Jeg tror, bilfabrikanter ville gøre klogt i at genvinde den tillid. En måde at gøre det på er gennem bedre transparens og hjælpe forbrugere til ikke at få indsamlet data om dem efter at have foretaget et rigtig dyrbart køb – uden eksplicit opt-in i stedet for opt-out.”
Undersøgelsen understreger et voksende skel mellem branchens teknologiske muligheder og forbrugernes manglende kontrol over deres egne data – et hul, som lovgivere og bilfabrikanter må tage alvorligt.