Dans une nouvelle qui ne devrait surprendre que très peu de personnes, les voitures connectées restent un véritable cauchemar pour la vie privée. Mais nous avons désormais une meilleure idée des données que ces voitures divulguent, et à qui, grâce à une étude menée par une équipe de chercheurs de la Northeastern University et de Consumer Reports. Tester 21 voitures de 19 marques différentes a révélé des schémas de trafic vers des annonceurs et des traqueurs, ainsi que des données partagées avec de grandes entreprises technologiques comme Microsoft et Adobe. Et l'utilisation de l'application compagnon d'une voiture peut multiplier le problème, selon leurs tests.
En 2023, la Fondation Mozilla a publié un rapport largement couvert examinant les politiques de confidentialité de plus de deux douzaines de constructeurs automobiles. Ils ont été consternés, écrivant que « les voitures sont la pire catégorie de produits que nous ayons jamais examinée en matière de confidentialité ». Mais cette analyse a été réalisée en lisant toutes les différentes politiques de confidentialité de chaque marque ; l'étude d'aujourd'hui impliquait de mesurer le trafic de voitures réelles dans plusieurs scénarios, y compris au ralenti et en conduite. Les chercheurs ont même garé 11 voitures (uniquement les électriques) dans une tente de Faraday pour voir si la perte d'un signal cellulaire pousserait ce trafic vers la connexion Wi-Fi de la voiture.
Les tentatives pour voir réellement ce qu'il y avait dans les paquets de données à l'aide de certificats modifiés ont échoué dans tous les cas. Mais « les traces réseau ont tout de même fourni des informations précieuses, y compris les domaines contactés via le trafic DNS, l'indication du nom du serveur (SNI) dans les poignées de main TLS, le volume et le timing des transmissions, et les différences de comportement entre les scénarios expérimentaux », ont-ils constaté. Toutes les voitures ont contacté un domaine de première partie (c'est-à-dire le constructeur) ; après tout, toutes les voitures testées étaient des voitures connectées et cela signifie se connecter à quelque chose. Et quelques-unes s'en sont tenues là – la Buick Envista et la Mercedes-Benz EQS n'ont pas semblé contacter d'autres endroits, par exemple.
D'autres étaient bien plus promiscuitaires, avec Tesla en tête du classement : la Model 3 a contacté 34 domaines publicitaires, de suivi et d'analyse, ainsi que 37 domaines provenant d'applications intégrées au système d'infodivertissement. Les domaines d'Alphabet ont été les plus fréquemment contactés – là encore, pas très surprenant compte tenu de la pénétration de son système Android Automotive OS dans le secteur. « Mais bon nombre des [domaines de second niveau] que nous avons observés n'étaient pas nécessaires aux services de base (par exemple, doubleclick.net et googlesyndication.com, qui sont utilisés à des fins publicitaires) », ont écrit les auteurs. Le streaming multimédia – Spotify, Sirius XM, etc. – est bien représenté, tout comme les sociétés de cartographie comme HERE, Tom Tom et Mapbox.