Em uma notícia que deve surpreender muito poucos, os carros conectados continuam sendo um pesadelo completo para a privacidade. Mas agora temos uma ideia melhor de quais dados esses carros estão doando e para quem, graças a um estudo conduzido por uma equipe de pesquisadores da Northeastern University e da Consumer Reports. Testar 21 carros de 19 marcas diferentes revelou padrões de tráfego para anunciantes e rastreadores, bem como dados compartilhados com grandes empresas de tecnologia como Microsoft e Adobe. E usar o aplicativo complementar de um carro pode multiplicar o problema, descobriram seus testes.
Em 2023, a Fundação Mozilla publicou um relatório amplamente divulgado analisando as políticas de privacidade de mais de duas dúzias de montadoras. Eles ficaram chocados, escrevendo que “os carros são a pior categoria de produto que já revisamos em termos de privacidade.” Mas essa análise foi conduzida sentando e lendo todas as várias políticas de privacidade de cada marca; o estudo de hoje envolveu medir o tráfego de carros reais em vários cenários, incluindo marcha lenta e sendo dirigidos. Os pesquisadores até estacionaram 11 carros (apenas os elétricos) em uma tenda de Faraday para ver se a perda de um sinal celular empurraria esse tráfego para a conexão Wi-Fi do carro.
As tentativas de realmente ver o que estava nos pacotes de dados usando certificados modificados falharam em todos os casos. Mas “os traços de rede ainda forneceram informações valiosas, incluindo os domínios contatados via tráfego DNS, Indicação de Nome de Servidor (SNI) em handshakes TLS, o volume e o tempo das transmissões e diferenças no comportamento entre cenários experimentais”, eles descobriram. Todos os carros contataram um domínio de primeira parte (ou seja, a OEM); afinal, todos os carros testados eram carros conectados e isso significa conectar-se a algo. E alguns pararam por aí – o Buick Envista e o Mercedes-Benz EQS não pareceram entrar em contato com mais ninguém, por exemplo.
Outros eram muito mais promíscuos, com a Tesla liderando o gráfico: O Model 3 contatou 34 domínios de publicidade, rastreamento e análise, bem como 37 domínios de aplicativos integrados ao sistema de infoentretenimento. Os domínios da Alphabet foram os mais contatados – novamente não é enormemente surpreendente, dada a penetração de seu Android Automotive OS no setor. “Mas muitos dos [domínios de segundo nível] que observamos não eram necessários para serviços principais (por exemplo, doubleclick.net e googlesyndication.com, que são usados para fins de publicidade)”, escreveram os autores. O streaming de mídia – Spotify, Sirius XM e assim por diante – é bem representado, assim como empresas de mapeamento como HERE, Tom Tom e Mapbox.