Uno studio condotto da Northeastern University insieme a Consumer Reports ha analizzato il traffico di rete di 21 veicoli di 19 marchi e 30 app per auto connesse. Tra le app esaminate, 28 hanno contattato almeno una società esterna di pubblicità o analisi; 7 hanno inviato a un soggetto esterno almeno un identificativo personale, come il nome del proprietario, il numero di identificazione del veicolo (VIN) o la posizione geografica precisa.
Che cosa ha esaminato lo studio sulle auto connesse
L’indagine ha riguardato sia il traffico generato dai veicoli sia quello di 30 app delle case automobilistiche. I test sulle auto hanno coinvolto 21 veicoli appartenenti a 19 marchi.
I risultati sulle app si riferiscono tutte allo stesso campione di 30:
| Risultato osservato | App | Campione |
| Hanno contattato almeno una società esterna di pubblicità o analisi | 28 | 30 app testate |
| Hanno inviato a una società esterna almeno un identificativo personale | 7 | 30 app testate |
Gli identificativi rilevati comprendevano il nome del proprietario, il VIN o la posizione precisa. Il risultato indica che ciascuna delle sette app ha inviato almeno un tipo di identificativo: non significa che tutte abbiano trasmesso tutti e tre i tipi.
Come è stato misurato il traffico di rete
Per intercettare il traffico in uscita dai veicoli, i ricercatori hanno usato un punto di accesso Wi-Fi personalizzato. Hanno osservato le auto sia da ferme sia durante la guida, con manovre simulate come accelerazioni rapide, frenate brusche e cambi di direzione. Nei test delle app hanno attivato funzioni come la localizzazione dell’auto e la consultazione della cronologia degli interventi di manutenzione.
I ricercatori non sono riusciti a leggere il contenuto dei pacchetti neppure usando certificati modificati. Hanno analizzato invece i domini contattati tramite DNS, il nome del server indicato all’avvio di una connessione cifrata TLS (SNI), il volume e i tempi delle trasmissioni e le variazioni tra i diversi scenari di prova.
Undici veicoli elettrici sono stati testati in una tenda di Faraday, che bloccava i segnali cellulari per isolare il traffico Wi-Fi. In alcuni veicoli i sottosistemi connessi hanno smesso di funzionare; altri hanno reindirizzato il traffico sul Wi-Fi.
La risposta riferita di Honda sui dati di posizione
Dopo che i ricercatori le hanno presentato i risultati, Honda avrebbe chiesto ad Amplitude di cancellare i dati di posizione già ricevuti e avrebbe smesso di inviare al fornitore ulteriori dati di posizione.
Che cosa indicano i risultati sulla privacy delle auto
I contatti con società esterne e l’invio di identificativi sono due misure distinte: un contatto di rete, da solo, non specifica quali informazioni siano arrivate a un destinatario né come siano state poi utilizzate. I risultati descrivono i veicoli e le app esaminati nello studio.
