Northeastern University en Consumer Reports onderzochten netwerkverkeer van 21 auto's, verdeeld over 19 merken, en 30 apps voor verbonden auto's. Van die apps maakten er 28 contact met minstens één extern advertentie- of analysebedrijf; zeven stuurden minstens één identificerend gegeven naar een extern bedrijf.
Wat de app-tests opleverden
De twee uitkomsten hebben dezelfde basis: 30 onderzochte apps. Een app die contact maakt met een extern bedrijf, stuurt niet daarmee automatisch een identificerend gegeven mee. Bij zeven apps werd wel minstens één persoonlijk identificerend gegeven naar een extern bedrijf gestuurd.
| Waargenomen resultaat | Apps | Steekproef |
| Contact met minstens één extern advertentie- of analysebedrijf | 28 | 30 apps |
| Minstens één identificerend gegeven naar een extern bedrijf gestuurd | 7 | 30 apps |
De gegevens konden onder meer bestaan uit de naam van de eigenaar, het voertuigidentificatienummer (VIN) of een precieze locatie. De bevinding over de zeven apps betekent niet dat elke app al deze gegevens verstuurde.
Hoe het netwerkverkeer werd gemeten
De onderzoekers vingen wifi-verkeer van auto's op terwijl die stilstonden en reden. De rijtests omvatten onder meer snel accelereren, hard remmen en uitwijken. Ook gebruikten ze functies in de apps, zoals het lokaliseren van de auto en het bekijken van de onderhoudsgeschiedenis.
Bij elf elektrische auto's blokkeerde een kooi van Faraday mobiele signalen, zodat het wifi-verkeer afzonderlijk kon worden gevolgd. In die tests stopten sommige auto's met het gebruik van verbonden systemen, terwijl andere het verkeer via wifi omleidden.
Aangepaste certificaten maakten de inhoud van de netwerkpakketten niet leesbaar. De onderzoekers analyseerden daarom onder meer DNS-domeinen, TLS Server Name Indication (SNI), de hoeveelheid en timing van verkeer en verschillen tussen testsituaties. Een contact met een domein laat zien dat er netwerkverkeer was, maar zegt op zichzelf niet welke specifieke gegevens een ontvanger gebruikte.
Honda liet Amplitude locatiegegevens verwijderen
Nadat de onderzoekers hun bevindingen hadden voorgelegd, droeg Honda leverancier Amplitude op de ontvangen locatiegegevens te verwijderen. Honda stopte ook met het doorsturen van verdere locatiegegevens aan deze leverancier. Die actie betrof de gegevensuitwisseling met Amplitude.
Wat de resultaten zeggen over privacy van verbonden auto's
De cijfers beschrijven de 30 onderzochte apps en de netwerkactiviteit van 21 auto's uit 19 merken. Ze geven concrete voorbeelden van contact met externe advertentie- en analysebedrijven en van apps die identificerende gegevens doorstuurden. De analyse van netwerkmetadata maakt zichtbaar met welke domeinen verbinding werd gelegd en wanneer verkeer plaatsvond; de pakketinhoud bleef buiten beeld.
