Northeastern Üniversitesi ve Consumer Reports tarafından yürütülen bir çalışma, test edilen modern otomobillerin ve üretici şirketlere ait uygulamaların çoğunun üçüncü taraf reklam ve analiz şirketleriyle iletişim kurduğunu ortaya koydu. Bu iletişim, bazı durumlarda doğrudan otomobil sahibi ve onun dijital etkinliğiyle ilişkilendirilebilen tanımlayıcıların gönderilmesi yoluyla gerçekleşti.
Araştırmacılar, Ekim 2024 ile Ağustos 2025 arasındaki dönemde 21 modern otomobilin ve üretici şirketlere ait 30 uygulamanın veri trafiğini analiz etti. Kablosuz bağlantı üzerinden 19 otomobil en az bir üçüncü taraf şirkete veri gönderirken, yedi uygulama Araç Kimlik Numarası (VIN), e-posta adresleri ve kesin konumlar gibi tanımlayıcıları reklam ve analiz şirketlerine aktardı.
Şasi numarası değiştirilemez
Yedi uygulamanın dördü General Motors'a aitti: myCadillac, myChevrolet, myBuick ve myGMC. Araştırmaya göre bu uygulamalar VIN numaralarını Microsoft, Adobe, Snap, Yahoo, Meta, Google ve veri aracısı Acxiom'un da aralarında bulunduğu on şirkete gönderdi. HondaLink uygulaması da VIN numaralarını ve konumu analiz şirketi Amplitude'a gönderirken, diğer vakalar Lincoln ve MyNISSAN uygulamalarını kapsıyordu.
Bu verilerin hassas olmasının nedeni, telefondaki reklam tanımlayıcısının aksine VIN numarasının kullanıcı tarafından sıfırlanamamasıdır. E-posta adresiyle ilişkilendirildiğinde reklam şirketleri, otomobil sahibinin kimliğini diğer uygulamalardaki ve web sitelerindeki etkinliğiyle eşleştirebilir. Bu da otomobili ve uygulamasını daha geniş bir dijital profilin parçası hâline getirir.
En büyük maruziyet kaynağı uygulamalar
Consumer Reports'un özetleri, 21 otomobilden onunun reklam veya takip alan adlarına doğrudan bağlanmadığını, ancak bu otomobillerin uygulamalarının sahiplerine ait verileri çok sayıda şirkete açtığını gösterdi. Buick Envista uygulaması 23 reklam ve takip şirketiyle, Nissan Ariya uygulaması ise 25 şirketle ilişkilendirildi. Buna karşılık Tesla Model 3, doğrudan otomobil üzerinden 22 kuruluşla iletişim kurdu ve uygulaması iki kuruluş daha ekledi.
Bulgulara göre 30 uygulamadan 28'i en az bir reklam veya analiz şirketiyle iletişim kurdu. Ekip, otomobillerin içindeki veri trafiğinin şifrelemesini çözemedi. Ayrıca Model 3 vakasında hücresel veri yakalama işlemiyle sınırlı kaldı. Bu nedenle araştırmacılar gerçek sayıların daha yüksek olabileceğini düşünüyor.
Bu haber neden önemli?
Bulgular, risk veya mahremiyet kaybı kaynağının mutlaka otomobilin kendi sistemi olmadığını gösteriyor. Test edilen araçların çoğunda reklam ve takip teknolojilerine maruziyetin büyük bölümü telefon uygulaması üzerinden gerçekleşti. Bu da uygulama ayarlarının ve uygulamayla ilişkili hizmet şartlarının incelenmesinin otomobil ayarları kadar önemli olduğu anlamına geliyor.
Çalışma ayrıca, tanımlayıcıları paylaşan yedi uygulamanın gizlilik politikalarının verilerin üçüncü taraflara aktarılabileceğini açıkladığını, ancak alıcı kuruluşları veya paylaşım amacını her zaman belirtmediğini ortaya koydu. Tesla, veri paylaşımı sözleşmesini reddeden kullanıcıları işlevlerde azalma, ciddi hasar veya uyumluluk sorunları yaşanabileceği konusunda uyarıyor. Rivian ise veri toplamanın durdurulmasının navigasyon ve kablosuz güncellemeler gibi özellikleri sınırlayabileceğini belirtiyor.
Şirketlerin yanıtı ve düzenleyici kısıtlamalar
Araştırmacılar 17 üretici şirketle iletişime geçti. Bunların 14'ü veri akışlarının tedarikçi sözleşmeleriyle uyumlu olduğunu söyledi. Yedi şirket, her harici hizmetin şartlarını okuma sorumluluğunun otomobil sahibine ait olduğunu belirtirken, beş şirket takip işlemini uygulamalarında açılan web sayfalarına bağladı.
Bulgular, ABD Federal Ticaret Komisyonu'nun GM aleyhindeki emriyle aynı döneme denk geliyor. Bu emir, şirketin beş yıl boyunca sürücü verilerini tüketici raporlama kuruluşlarına satmasını yasakladı ve bağlantılı araç verilerinin toplanmasından veya paylaşılmasından önce açık rıza alınmasını şart koştu. Ancak çalışmanın testi emrin yayımlanmasından önce gerçekleştirildi ve araştırmacılar GM'yi emri ihlal etmekle suçlamadı. GM, verilerin yalnızca sözleşmeleri gereği bunları satması veya kendi amaçları doğrultusunda kullanması yasaklanan hizmet sağlayıcılara açıklandığını söyledi.
Kaynağa göre Honda, Amplitude'dan konum verilerini silmesini istedi ve HondaLink'i bu verilerin gönderilmesini durduracak şekilde güncelledi. Northeastern'da profesör ve çalışmanın yazarlarından biri olan araştırmacı David Choffnes ise düzenleyici kurumları müdahale etmeye çağırdı. Önemli bir soru ise hâlâ açık: Kullanıcıların gerçekte verdiği onaylar ne kadar açık ve verilerini paylaşmayı reddeden kişiler için temel işlevler kullanılabilir olmaya devam edecek mi?