Le 29 septembre 2026, les résultats d’une étude menée par Northeastern University avec Consumer Reports ont été rendus publics : parmi 30 applications automobiles testées, 28 ont contacté au moins une société externe de publicité ou d’analyse et sept ont transmis à une entreprise externe au moins un identifiant personnel. L’étude a aussi mesuré le trafic réseau de 21 véhicules représentant 19 marques.
Ce que l’étude sur les voitures connectées a mesuré
Les chercheurs ont examiné les échanges réseau des véhicules et de leurs applications mobiles. Les identifiants transmis par certaines applications comprenaient le nom du propriétaire, le numéro d’identification du véhicule (VIN) ou sa localisation géographique précise. Une application était comptée dès qu’elle envoyait au moins l’un de ces types d’identifiants à une entreprise externe.
Résultats des tests sur les applications
| Résultat observé | Applications concernées | Échantillon étudié |
| Contact avec au moins une société externe de publicité ou d’analyse | 28 | 30 applications |
| Transmission à une société externe d’au moins un identifiant personnel | 7 | 30 applications |
Comment le trafic réseau a été observé
Les chercheurs ont capté le trafic sortant des véhicules par Wi-Fi, à l’arrêt et pendant la conduite. Les essais comprenaient des accélérations rapides, des freinages appuyés et des changements de direction; l’équipe a également utilisé des fonctions d’application, comme la localisation du véhicule et la consultation de son historique d’entretien.
Pour 11 véhicules électriques, une enceinte de Faraday a bloqué les signaux cellulaires afin d’isoler le trafic Wi-Fi. Dans ces essais, certains véhicules ont cessé d’utiliser des sous-systèmes connectés, tandis que d’autres ont redirigé leur trafic vers le Wi-Fi.
Des certificats modifiés n’ont pas permis de déchiffrer le contenu des paquets. L’analyse s’est appuyée sur les domaines DNS contactés, l’indication du nom de serveur (SNI) lors de la négociation TLS, le volume et le moment des transmissions, ainsi que les variations entre scénarios. Ces métadonnées décrivent les connexions et leur activité sans livrer le contenu des échanges.
La réponse rapportée de Honda concernant Amplitude
Après que les chercheurs lui ont présenté leurs résultats, Honda aurait demandé à Amplitude de supprimer les données de localisation déjà reçues et cessé de lui en transmettre de nouvelles. Cette action concerne les échanges avec ce prestataire.
Ce que les résultats disent de la confidentialité automobile
Un contact réseau indique qu’un service externe a été joint. La transmission d’un identifiant personnel constitue une mesure différente : elle signale qu’une information comme un nom, un numéro VIN ou une localisation précise a été envoyée par l’application. L’étude distingue ainsi la cartographie des connexions du transfert d’informations personnelles observé dans certaines applications.
