حریم خصوصی داده‌های خودروی شما؛ مشکلی جدی‌تر از آنچه تصور می‌کنید

تحقیقی جدید نشان می‌دهد تقریباً همه خودروسازان داده‌های حساس خودرو و رانندگان، از موقعیت مکانی تا رفتار رانندگی، را به شرکت‌های ثالث تبلیغاتی و ردیابی منتقل می‌کنند؛ زنگ خطری جدی برای حریم خصوصی خودروها.

بارها گفته شده است که خودروهای امروزی در واقع گوشی های هوشمند متحرک هستند. همان طور که تلفن همراه شما اطلاعات فراوانی جمع آوری می کند، خودروی متصل نیز جزئیاتی مانند مسیرهای پیموده شده، میزان شتاب گیری، شدت ترمزگیری، نحوه پیچیدن و اطلاعات بسیار دیگری را ثبت می کند.

جمع آوری اطلاعات خودروها زیر ذره بین

وضعیت حقوقی این روند همچنان محل بحث است. سال گذشته، کمیسیون تجارت فدرال آمریکا شرکت جنرال موتورز را به دلیل جمع آوری و فروش اطلاعات دقیق مربوط به موقعیت مکانی و شیوه رانندگی مشتریان، بدون دریافت رضایت آگاهانه، جریمه کرد. شرکت هایی مانند فورد و هوندا نیز به دلیل دشوار کردن روند انصراف کاربران از جمع آوری اطلاعات با جریمه های کوچک تری روبه رو شدند.

اگرچه مدت ها این احتمال وجود داشت که خودروسازان دیگری نیز رفتار مشابهی داشته باشند، تاکنون بررسی جامعی در این زمینه انجام نشده بود. اکنون پژوهشگران دانشگاه نورث ایسترن با همکاری نشریه کانسیومر ریپورتس، تصویری دقیق از وضعیت حریم خصوصی خودروهای متصل ارائه کرده اند.

این گروه پژوهشی با بررسی نزدیک به دو دوجین خودرو از ناوگان آزمایشی کانسیومر ریپورتس، پرسش هایی اساسی را دنبال کرد: کدام خودروها اطلاعات ارسال می کنند؟ این داده ها به دست چه شرکت هایی می رسد؟ آیا اطلاعات از مرزهای بین المللی عبور می کند؟ و چه نوع اطلاعاتی درباره هویت مالکان در معرض افشا قرار می گیرد؟

دیوید چافنس، مدیر این پروژه و مدیر پیشین مؤسسه امنیت سایبری و حریم خصوصی دانشگاه نورث ایسترن، گفت هدف پژوهشگران آن بود که ابعاد گسترده ردیابی اطلاعات در خودروهای امروزی را آشکار کنند و نشان دهند مالکان تا چه اندازه از روند جمع آوری داده ها بی اطلاع هستند و کنترل اندکی بر آن دارند.

چافنس در گفت وگویی گفت: «به نظر من نتیجه این بررسی آن است که دلایل زیادی برای نگرانی وجود دارد.»

برای دستیابی به تصویری کامل، پژوهشگران ۲۱ خودروی جدید از ۱۹ برند عرضه شده در بازار آمریکا و همچنین ۳۰ اپلیکیشن همراه مرتبط با خودروهای فعال را بررسی کردند.

ردیابی ارتباطات خودرو با شرکت های بیرونی

در بررسی ارتباطات مستقیم خودروها، مقصدهای اینترنتی شناسایی شد؛ از جمله دامنه هایی متعلق به شرکت های ردیابی شخص ثالث. با این حال، پژوهشگران بدون نفوذ به سامانه خودروها نتوانستند محتوای رمزگذاری شده این ارتباطات را رمزگشایی کنند.

رهگیری ترافیک وای فای نسبتاً ساده بود. محققان در هر خودرو یک رزبری پای قرار دادند، آن را به شبکه وای فای خودرو متصل کردند و اتصال اینترنت را از طریق یک نقطه دسترسی همراه برقرار ساختند. به این ترتیب، ترافیک خروجی خودرو هنگام حرکت قابل مشاهده بود.

بررسی ارتباطات سلولی به روش متفاوتی نیاز داشت. پژوهشگران برای جلوگیری از ایجاد اختلال در شبکه های عمومی و پرهیز از راه اندازی یک ایستگاه مخابراتی غیرمجاز، محفظه ای به اندازه خودرو و از جنس قفس فارادی ساختند. این محفظه تمام سیگنال های میان خودرو و دکل های مخابراتی بیرونی را مسدود می کرد و خودرو را وادار می ساخت از اتصال وای فای کنترل شده استفاده کند.

نتایج به دست آمده قابل توجه بود: هر ۲۱ خودرو بررسی شده، از طریق وای فای دست کم با یک دامنه متعلق به شرکت های شخص ثالث ارتباط برقرار کردند. بیش از نیمی از خودروها نیز با دامنه هایی در زمینه تبلیغات، ردیابی یا تحلیل داده ارتباط داشتند. شرکت هایی مانند ادوبی، لکسیس نکسیس و آمپلیتود، اطلاعات مربوط به خودرو یا رفتار راننده را جمع آوری می کنند تا آن را در اختیار شرکت های بیمه قرار دهند یا برای نمایش تبلیغات هدفمند به کار ببرند.

خودروهایی که به سامانه های پیشرفته سرگرمی و اطلاعاتی مجهز بودند، به ویژه مدل هایی که از سیستم عامل اندروید اتوموتیو گوگل همراه با خدمات خودرویی گوگل استفاده می کردند، با بیشترین تعداد دامنه های شخص ثالث ارتباط داشتند.

چافنس توضیح داد که انتخاب بستر نرم افزاری از سوی خودروساز، مستقیماً بر حجم اطلاعاتی که به شرکت های بیرونی می رسد اثر می گذارد. برای نمونه، بستر گوگل به صورت داخلی قابلیت هایی دارد که با خدمات خود گوگل و همچنین نهادهای خارجی ارتباط برقرار می کنند.

او گفت: «بخش زیادی از ردیابی هایی که مشاهده کردیم، از طریق برنامه های نصب شده روی خودرو انجام می شود. خودروها اکنون عملاً در حال تبدیل شدن به گوشی های هوشمند جهانی هستند.»

اپلیکیشن های همراه و افشای اطلاعات حساس

اپلیکیشن های همراه خودرو نیز مسیر آسیب پذیر دیگری هستند. پژوهشگران دریافتند هفت برنامه شامل هوندا لینک، لینکلن، مای نیسان، مای کادیلاک، مای شورولت، مای بیوک و مای جی ام سی، اطلاعات حساسی مانند شماره شناسایی خودرو، شماره تلفن و موقعیت مکانی دقیق را مستقیماً برای شبکه های تبلیغاتی ارسال می کردند.

بیش از ۷۰ درصد اپلیکیشن های بررسی شده با دست کم پنج دامنه متفاوت در حوزه تبلیغات، ردیابی یا تحلیل داده ارتباط داشتند.

پژوهشگران به طور ویژه از ترکیب شماره شناسایی خودرو با اطلاعات هویتی افراد ابراز نگرانی کردند. چنین ترکیبی به کارگزاران داده امکان می دهد پرونده های بسیار دقیقی درباره رانندگان و عادت های آن ها ایجاد کنند.

چافنس گفت: «ممکن است تصور کنیم شرکت های اینترنتی می توانند فعالیت های آنلاین ما را دنبال کنند، اما وقتی داخل خودرو هستیم، دیگر نمی توانند بفهمند چه خودرویی داریم. یافته های ما نشان می دهد که آن ها واقعاً قادر به انجام این کار هستند؛ آن هم برای شرکت هایی که بسیاری از مشتریان نه با آن ها رابطه ای دارند و نه حتی نامشان را شنیده اند.»

واکنش خودروسازان به یافته های پژوهش

واکنش خودروسازان به این گزارش یکسان نبود. برخی شرکت ها از عملکرد خود دفاع کردند و آن را مطابق قانون دانستند، در حالی که گروهی دیگر آسیب پذیری های شناسایی شده را پذیرفتند و تغییراتی در نرم افزارهای خود ایجاد کردند.

برای نمونه، هوندا از شرکت تحلیل داده آمپلیتود خواست تمام اطلاعات مکانی جمع آوری شده را حذف کند. این شرکت همچنین پس از اطلاع از نتایج پژوهش دانشگاه نورث ایسترن، اپلیکیشن هوندا لینک را به روزرسانی کرد تا ارسال اطلاعات موقعیت مکانی متوقف شود.

از نگاه چافنس، مسئله اصلی فراتر از عملکرد چند شرکت است. بیشتر مصرف کنندگان هنگام خرید خودروی متصل یا راه اندازی اپلیکیشن مربوط به آن، نمی دانند دقیقاً با چه شرایطی موافقت می کنند. بعید است رانندگان در پارکینگ نمایندگی فروش، پیش از پذیرش شرایط استفاده، متن های طولانی و پیچیده حریم خصوصی را روی نمایشگر کوچک خودرو مطالعه کنند.

چافنس گفت: «در نتیجه این وضعیت، اعتماد زیادی شکل نمی گیرد. خودروسازان باید برای بازگرداندن این اعتماد تلاش کنند. یکی از راه ها، ایجاد شفافیت بیشتر و کمک به مصرف کنندگان برای جلوگیری از جمع آوری اطلاعاتشان پس از انجام یک خرید گران قیمت است. این کار باید بر پایه رضایت صریح و قبلی انجام شود، نه اینکه کاربر مجبور باشد پس از فعال شدن جمع آوری داده ها، برای توقف آن اقدام کند.»