En ny studie avslöjar bilarnas dolda datatrafik. Volvo C40 var en av 19 av 21 testade bilar som kontaktade tredje part.
– Vår studie avslöjade ett stort glapp mellan vad fordonstillverkare offentligt redovisar och hur det uppkopplade bilekosystemet faktiskt delar data över internet, skriver forskarna.
Moderna bilar har GPS, appar, internetanslutning och system som kommunicerar med servrar långt utanför själva bilen. Men exakt vilka som får kontakt med bilen är betydligt svårare för ägaren att se. Det är det forskare vid Northeastern University tillsammans med Consumer Reports nu har försökt kartlägga.
– Vi fann att fordon i en rad verkliga situationer inte bara kontaktar tillverkarens egna domäner och bilspecifika stödtjänster, utan också tredje parter som är kända för att erbjuda annonserings- och spårningstjänster, skriver forskarna.
Totalt testades 21 relativt nya bilar från den amerikanska marknaden och 30 tillhörande mobilappar. Bland modellerna fanns bland annat Volvo C40, Tesla Model 3 och Cybertruck, Cadillac Lyriq, Mercedes EQS, Nissan Ariya, Ford F-150 Lightning och Toyota Corolla Cross. Resultatet visade att 19 av de 21 bilarna kontaktade minst en extern tredje part över wifi. Bland mottagarna fanns också domäner kopplade till annonsering och spårning.
Det går därför inte att slå fast att exempelvis Volvo C40 skickade förarens position, identitet eller andra personuppgifter till ett visst företag. När forskarna granskade mobilapparna kunde de däremot se betydligt mer. Sju av de 30 apparna skickade känsliga identifierare till tredje parter kopplade till annonsering och spårning. Det kunde handla om chassinummer, e-postadress, telefonnummer och exakt position.
Fem appar skickade både bilens VIN-nummer och annan personlig information. Bland apparna som pekas ut finns bland annat myCadillac, myChevrolet, myBuick, myGMC, HondaLink, Lincoln och MyNISSAN. I flera fall skickades flera typer av personuppgifter samtidigt. Volvos app finns däremot inte bland de sju appar där forskarna kunde se att just dessa känsliga uppgifter skickades vidare.
Forskarna beskriver därför problemet som betydligt större än ett enskilt bilmärke. När bilen och dess app väl börjar kommunicera med externa aktörer får ägaren enligt studien begränsad insyn i vad som händer i nästa steg. De pekar också på att bilägare ofta ställs inför ett svårt val. Den som inte accepterar vissa villkor kan behöva avstå från funktioner som fjärrstyrning, appar och andra uppkopplade tjänster.
Totalt kontaktade forskarna 17 biltillverkare om fynden. Enligt studien hänvisade 14 av dem till avtal med externa tjänsteleverantörer. Forskarna menar samtidigt att transparensen mot konsumenterna är för dålig.
– Vår studie avslöjade ett stort glapp mellan vad fordonstillverkare offentligt redovisar och hur det uppkopplade bilekosystemet faktiskt delar data över internet, skriver de.
Carup har sökt Volvo Cars för en kommentar som via deras presschef Magnus Holst svarar:
– Eftersom vi har begränsad information om det specifika fordon och den mobilapp som berörs, exempelvis vilka programvaruversioner som använts, vilka inställningar och funktioner som varit aktiverade, hur och när testerna genomfördes samt exakt vilka uppgifter som identifierats som skickade, är det svårt att ge ett definitivt svar på de observationer som har delats.
Holst skriver dock att man kan ge följande övergripande förtydliganden:
– 1. C40-modeller från 2024 har Google inbyggt. Om Googles användarvillkor har godkänts i bilen, inklusive nödvändiga appbehörigheter, kommer Google att ta emot data från bilen för att kunna tillhandahålla sina tjänster i applikationer som exempelvis Google Maps, Google Assistent och Google Play.
2. Volvo Cars har infört både tekniska och avtalsmässiga skyddsåtgärder i relation till våra partners och leverantörer för att skydda användarnas integritet. Ur ett integritetsperspektiv ansvarar respektive tredje part som tillhandahåller applikationer i våra bilar för sin insamling och användning av data, i enlighet med sina egna villkor och integritetspolicyer. Via den inbyggda webbläsaren är det även möjligt att nå andra tjänster som kan samla in data.
När det gäller appen säger han:
– Volvo Cars har infört både tekniska och avtalsmässiga skyddsåtgärder i relation till våra partners och leverantörer för att skydda användarnas integritet. Utöver inställningarna ovan sker viss datadelning endast efter att användaren aktivt har gjort ett val eller aktiverat en funktion, och omfattningen av den data som delas har begränsats. Vi har implementerat tekniska funktioner i appen som möjliggör delning av data med Volvo Cars.
Så många extra annons- och spårningsaktörer tillkom när bilens app användes, jämfört med bilen ensam.
| Bilmodell | Extra annons-/spårningsaktörer via app | App skickade känsliga uppgifter |
|---|---|---|
| Cadillac Lyriq | +26 | Ja |
| Chevrolet Blazer | +23 | Ja |
| Buick Envista | +23 | Ja |
| Toyota Corolla Cross | +25 | Nej |
| Nissan Ariya | +25 | Ja |
| Lucid Air | +13 | Nej |
| Ford Mustang | +13 | Nej |
| Ford F-150 Lightning | +13 | Nej |
| Rivian R1S | +9 | Nej |
| Fiat 500e | +8 | Nej |
| Honda Prologue | +5 | Ja |
| Lexus NX450h+ | +5 | Nej |
| RAM 1500 | +4 | Nej |
| Volvo C40 | +3 | Nej |
| Range Rover Sport | +3 | Nej |
| Subaru Solterra | +3 | Nej |
| Tesla Model 3 | +2 | Nej |
| Tesla Cybertruck | +2 | Nej |
| Mercedes EQS | +2 | Nej |
LÄS MER:
Kevin Neemé har dubbla kandidatexamina i journalistik samt medie- och kommunikationsvetenskap från Umeå universitet. Han har bland annat arbetat som reporter på Sveriges Radio och sportjournalist, bland annat på VLT och Örnsköldsvik Allehanda.
