Εισαγωγή και πλαίσιο μελέτης

Το connected car ορίζεται ως οχήμα με ενσωματωμένη πρόσβαση στο internet (Wi‑Fi, cellular, GPS) που επιτρέπει συνεχής επικοινωνία με τον κατασκευαστή και εξωτερικές εταιρείες. Σύμφωνα με τη μελέτη, πάνω από 75 % των νέων οχημάτων που πωλούνται παγκοσμίως διαθέτουν αυτή τη συνδεσιμότητα.

Η έρευνα, που ε σε συνεργασία με το Consumer Reports, εστίασε σε 21 tarda μοντέλα οχημάτων της αγοράς ΗΠΑ και 30 companion mobile apps που παρέχονται από τους ίδιους κατασκευαστές. Ο στόχος ήταν να μετρήσει ποια προσωπικά δεδομένα αποστέλλονται, ποια third parties τα λαμβάνουν και πώς αντικρούονται οι κατασκευαστές.

Μεθοδολογία collecte δεδομένων

Για την interceptions του Wi‑Fi traffic, οι ερευνήτες.configured ένα custom access point σε Raspberry Pi και χρησιμοποίησαν tcpdump για καταγραφή πακέτων. Η κίνηση ήταν κρυπτογραφημένη, οπότε μπορούσαν να δουν μόνο τους προορισμούς, όχι το περιεχόμενο.

Για την κelli‑κύκλωση, χτίσανε ένα car‑sized Faraday tent (≈93 dB weakening) για να απο το cellular signal και να δουν αν το tráfico ανακατευθύνεται στο Wi‑Fi.

Τα companion apps δοκιμάστηκαν σε iPhone 8/iOS 16.6, iPhone X/iOS 16.7.11 και iPhone 13/iOS 18.5. Χρησιμοποιήσαν mitmproxy με custom root certificates για να αποκρυπτογραφήσουν και να καταγράψουν το network traffic, ενώ καταγράφαวน τις αλληλεπιδράσεις μέσω της ενσωματωμένης iOS screen recording.

Κατά τη διάρκεια της δοκιμής, αποδέχτηκαν όλα τα permission requests (tracking, location, calendar, Bluetooth, notifications) και εκτέλεσαν όλες τις διαθέσιμες λειτουργίες των apps (εκτός από το remotely open trunk όπου εφαρμόστηκε).

Κύρια ευρήματα και επιπτώσεις

  • 19/21 οχήματα έστειλαν πακέτα σε τουλάχιστον ένα third‑party domain, πολλά από τα οποία ανήκουν σε γνωστά advertising και tracking networks (π.χ. doubleclick, googleadservices, facebook/trk).
  • 7/30 apps μεταδίδουν PII — VIN, email, τηλέφωνο, ακριβής γεωγραφική θέση — σε τρίτους που σχετίζονται με profiling και retargeting.
  • Η παρουσία του companion app αυξάνει τη φάελη του οχήματος σε tracking companies: σε μέσο όρο προστίθενται ~10–15 νέοι third‑party endpoints, ενώ σε ορισμένα περιπτώσεις προστίθενται 20+.
  • Τα δεδομένα που αποστέλλονται είναι συνήθως encrypted στο επίπεδο του carrying protocol (TLS), αλλά τα metadata (DNS queries, SNI, IP destinations) είναι επαρκέα για την κατασκευή προλ.

Συμπεράσματα και προτάσεις

Η μελέτη αποκαλύπτει ένα σπασίωμα μεταξύ των δημόσιων δηλώσεων των κατασκευαστών (που συχνά υποθέτουν ότι τα δεδομένα χρησιμοποιούνται μόνο για βελτίωση υπηρεσιών) και της πραγματικής ροής προς advertising/tracking servers. Αν από το ότι οι ιδιοκτήτες δεν έχουν έλεγχο μετά το αποστολή των δεδομένων, προτείνεται:

  1. Διαφάνεια: οι κατασκευαστές να δημοσιεύουν λISTS με όλα τα third‑party domains που επικοινωνούν με το οχήμα και το app, με περιγραφή του τύπου των δεδομένων που μεταδίδονται.
  2. Επιλογή χρήστη: μηχανismi opt‑out που απενεργοποιεί τη συλλογή PII χωρίς να απενεργοποιεί βασικές λειτουργίες όπως το remote start ή η κλειδωμένη κλειδα.
  3. Regulatory oversight: θεσμοθέτηση απαιτήσεων για data minimization και purpose limitation στο πλαίσιο του connected‑vehicle ecosystem, παρόμοια με τις οδηγίες GDPR για το automotive sector.

Η έρευνα υπογραμμίζει την ανάγκη για συνεχείς μέτρησεις και έλεγχο, ώστε να εντοπιστούν και να αντιμετωπιστούν τα αντίστοιχα ζημιogénή phenomena.