Northeastern University와 Consumer Reports가 실시한 연구에 따르면, 테스트 대상 현대 자동차와 제조업체 애플리케이션의 대다수가 외부 광고 및 분석 회사와 통신했으며, 때로는 자동차 소유자와 그의 디지털 활동에 직접 연결할 수 있는 식별자를 전송했다.
연구진은 2024년 10월부터 2025년 8월까지 현대 자동차 21대와 제조업체 소속 애플리케이션 30개의 데이터 흐름을 분석했다. 자동차 19대는 무선 연결을 통해 최소 한 곳의 외부 회사에 데이터를 전송했으며, 애플리케이션 7개는 차량 식별 번호(VIN), 이메일 주소, 정확한 위치와 같은 식별자를 광고 및 분석 회사에 전달했다.
차량 식별 번호는 변경할 수 없다
7개 애플리케이션 중 4개는 General Motors 소속으로, myCadillac, myChevrolet, myBuick, myGMC였다. 연구에 따르면 이 애플리케이션들은 Microsoft, Adobe, Snap, Yahoo, Meta, Google, 데이터 브로커 Acxiom을 포함한 10개 회사에 VIN을 전송했다. HondaLink 애플리케이션은 VIN과 위치를 분석 회사 Amplitude에 전송했으며, 나머지 사례에는 Lincoln과 MyNISSAN 애플리케이션이 포함됐다.
이 데이터가 민감한 이유는 휴대전화의 광고 식별자와 달리 사용자가 VIN을 재설정할 수 없기 때문이다. VIN을 이메일 주소와 연결하면 광고 회사는 자동차 소유자의 신원을 다른 애플리케이션 및 웹사이트에서의 활동과 연결할 수 있으며, 이에 따라 자동차와 그 애플리케이션이 더 광범위한 디지털 프로필의 일부가 된다.
가장 큰 노출원은 애플리케이션
Consumer Reports의 요약에 따르면 21대 중 10대는 광고 또는 추적 도메인에 직접 연결되지 않았지만, 해당 자동차의 애플리케이션은 소유자의 데이터를 여러 회사에 노출했다. Buick Envista 애플리케이션은 23개 광고 및 추적 회사와 연결됐고, Nissan Ariya 애플리케이션은 25개 회사와 연결됐다. 반면 Tesla Model 3는 자동차 자체에서 22개 기관에 연결됐으며, 애플리케이션이 두 곳을 추가했다.
결과에 따르면 30개 애플리케이션 중 28개가 최소 한 곳의 광고 또는 분석 회사와 통신했다. 연구팀은 차량 내부 데이터 흐름의 암호를 해독하지 못했으며, Model 3의 경우에는 셀룰러 데이터 수집만 가능했다. 따라서 연구진은 실제 수치가 더 높을 것으로 추정한다.
이 소식이 중요한 이유
연구 결과는 위험 또는 프라이버시 손실의 원인이 반드시 자동차 시스템 자체인 것은 아니라는 점을 보여준다. 테스트한 대부분의 차량에서 광고 및 추적 기술에 대한 노출의 주요 부분은 휴대전화 애플리케이션을 통해 발생했다. 이는 애플리케이션 설정과 관련 서비스 약관을 검토하는 일이 자동차 설정을 확인하는 것만큼 중요하다는 의미다.
또한 연구는 식별자를 공유한 7개 애플리케이션의 개인정보 보호정책이 데이터를 제3자에게 전달할 가능성을 공개했지만, 수신 기관이나 공유 목적을 항상 명시하지는 않았다는 점을 확인했다. Tesla는 데이터 공유 계약을 거부하는 사용자에게 기능이 축소되거나 심각한 손상 또는 호환성 문제가 발생할 수 있다고 경고하고 있으며, Rivian은 데이터 수집을 중단하면 내비게이션 및 무선 업데이트와 같은 기능이 제한될 수 있다고 말한다.
기업의 답변과 규제상의 한계
연구진은 17개 제조업체에 연락했으며, 이 중 14곳은 데이터 흐름이 공급업체 계약에 부합한다고 답했다. 7개 회사는 각 외부 서비스의 약관을 읽을 책임이 자동차 소유자에게 있다고 밝혔고, 5개 회사는 추적이 애플리케이션 내부에서 열리는 웹페이지로 인해 발생한다고 설명했다.
이번 결과는 미국 연방거래위원회가 GM을 상대로 내린 명령과 같은 맥락에서 나왔다. 해당 명령은 5년 동안 회사가 운전자 데이터를 소비자 보고 기관에 판매하는 것을 금지하고, 연결된 차량 데이터를 수집하거나 공유하기 전에 명시적 동의를 받도록 요구했다. 그러나 연구의 테스트는 해당 명령이 내려지기 전에 진행됐으며, 연구진은 GM이 이를 위반했다고 주장하지 않았다. GM은 데이터가 계약상 판매하거나 자체 목적에 사용할 수 없도록 제한된 서비스 제공업체에만 공개된다고 밝혔다.
소식통에 따르면 Honda는 Amplitude에 위치 데이터 삭제를 요청했으며 HondaLink를 업데이트해 해당 데이터의 전송을 중단했다. Northeastern 교수이자 연구 공동 저자인 연구자 David Choffnes는 규제 당국의 개입을 촉구했다. 사용자들이 실제로 받는 동의 요청이 얼마나 명확한지, 그리고 데이터 공유를 거부하는 사람들에게도 기본 기능이 계속 제공될지는 여전히 중요한 미해결 문제로 남아 있다.