Arabanız Hakkınızda Sandığınızdan Daha Fazla Veri Topluyor

    Northeastern Üniversitesi'nin yeni araştırmasına göre, büyük otomobil üreticileri sürücülerin kişisel bilgilerini üçüncü taraf şirketler ve veri aracılarıyla paylaşıyor.

    Kar amacı gütmeyen medya grubu Consumer Reports ile yapılan bir ortaklık kapsamında , Northeastern Üniversitesi'nden bir grup gizlilik ve siber güvenlik profesörü, otomobil üreticilerinin hangi verileri topladığını ve paylaştığını anlamak için 19 otomobil markasına ait 21 aracı test etti.

    Araştırmacılar, araçların kendilerini ve bunlara eşlik eden mobil uygulamaları test etmeyi de içeren soruşturmaları sonucunda, bu şirketlerin birçoğunun araç şasi numaraları ( VIN ), konum verileri ve e-posta adresleri gibi bilgileri paylaştığını tespit etti.

    Kuzeydoğu Üniversitesi'nde siber güvenlik profesörü ve raporun yazarlarından biri olan David Choffnes, grubun bu araştırmayı yürütmekle ilgilenmesinin nedeninin, New York Times'ın General Motors'un insanların arabalarından veri topladığını ve bunu sigorta şirketlerine sattığını ortaya koyan bir haberi yayınlaması olduğunu söyledi.

    Ancak Northeastern Üniversitesi araştırmacıları, günümüzde yollardaki araçlarla ilgili daha geniş bir analiz yapmaya ilgi duyuyorlardı, dedi.

    Choffnes'in açıkladığına göre, otomobiller, Wi-Fi ve hücresel sistemlerden kameralara, mikrofonlara ve GPS alıcılarına kadar, araç üreticileriyle iletişim kurmalarını sağlayan bir dizi internet bileşenine sahip.

    Bu araçların hangi verileri paylaştığını anlamak için araştırmacılar, araçların gönderdiği internet trafiğini, kontrol ettikleri ağlara yönlendirdiler.

    Choffnes'in açıkladığına göre, araştırmacılar şifreleme nedeniyle araçlardan hangi verilerin iletildiğini göremiyorlardı, ancak test için kullanılan telefonların bizzat kendilerine ait olması ve paylaşılan verilere daha kolay erişebilmeleri sayesinde araçlardaki mobil uygulamalardan gelen verilerin şifresini çözebiliyorlardı.

    Araştırmacılar, bu şirketlerin araç şasi numaraları ( VIN ), e-posta adresleri ve hatta konum verileri de dahil olmak üzere kişisel bilgiler gönderdiğini tespit etti.

    Kişisel bilgileri alan en sık iletişim kurulan üçüncü taraflar arasında Adobe Analytics; üçüncü taraf veri aracı kurumu Acxiom; ve analiz şirketi Contentsquare yer almaktadır.

    Northeastern Global News, konuyla ilgili yorum almak için bu şirketlerle iletişime geçti ancak yayın öncesinde yanıt alamadı.

    Araştırmacılar, tüm üreticilerin uygulamalarının gizlilik politikalarında kişisel bilgileri üçüncü taraflarla paylaşabileceklerini açıkladıklarını, ancak üreticilerin hangi üçüncü taraflarla iletişime geçeceklerini veya hangi amaçla iletişime geçeceklerini açıklamadıklarını kaydetti.

    Choffnes, "Araçların işlevselliğiyle hiçbir ilgisi olmayan bu şirketler sizin hakkınızda, hangi araca sahip olduğunuz hakkında ve bazen de GPS konumunuz hakkında bilgi topluyorlar," dedi.

    Araştırmacılar çalışmalarında, "Bu tür şirketler, bu istikrarlı tanımlayıcıları ve [kişisel bilgileri] kullanarak kullanıcıların farklı bağlamlarda izlenmesini sağlayabilir; bu da reklam şirketlerinin, bir araca sahip olan kişiyi diğer web sitelerinden ve mobil uygulamalardan elde edilen davranışsal verileri ve satın alma geçmişiyle ilişkilendirmesine olanak tanır" diye yazdı.

    Araştırmacılar, bulguların ardından bazı otomobil üreticilerinin veriler sunulduktan sonra değişiklikler yaptığını belirtti.

    Örneğin Honda, konum bilgilerini ve araç şasi numaralarını gönderdiği üçüncü taraf reklam şirketi Amplitude'dan verileri silmesini istedi. Rapora göre şirket ayrıca, konum verilerini reklam şirketine göndermeyi durdurmak için mobil uygulamasını da güncelledi.

    Honda sözcüsü Andrew Quillin, Northeastern Global News'e yaptığı açıklamada, araştırmacıların rapordaki değerlendirmelerini doğruladı.

    NGN ayrıca, kişisel bilgileri paylaştığı tespit edilen diğer otomobil üreticileriyle de iletişime geçti; bunlar arasında Cadillac, Chevrolet ve Buick markalarının ana şirketi olan General Motors da bulunuyor ve araştırmacılar bu şirketin mobil uygulamaları aracılığıyla kişisel bilgileri paylaştığını tespit etti.

    General Motors'tan bir sözcü NGN'ye yaptığı açıklamada, "Müşteri verilerinin güvenliğini sağlamaya kararlıyız, böylece insanlar daha iyi navigasyon, iletişim ve güvenlik gibi araç içi bağlantının avantajlarından yararlanabilirler; gizlilik politikalarımız ise açık ve anlaşılması kolaydır" dedi.

    General Motors, verilerini yalnızca hizmetlerini sunmasına yardımcı olan hizmet sağlayıcılara ve üçüncü taraflara, sıkı sözleşme sınırları dahilinde ifşa ettiğini belirtti. Bu sağlayıcıların verileri "kendi amaçları" için "satmasına, paylaşmasına veya kullanmasına" izin verilmiyor.

    Bununla birlikte Choffnes, ekibinin araştırmasının, otomobil üreticilerinin belirsiz bir dil kullanmak yerine topladıkları ve paylaştıkları veriler konusunda daha şeffaf olmaları gerektiğini vurguladığını söyledi.

    Choffnes'e göre, düzenleyici kurumlar devreye girmeli.

    "Şirketlerin bu verilerle ne yaptığını aslında bilmiyoruz ve bu durum daha da belirginleşmeli," dedi. "Ancak bu tür şeyler düzenlenmeli çünkü bence burada çok fazla potansiyel zarar var."

    Ayrıca araştırmacılar, kullanıcıların araçlarının temel işlevselliğini azaltmadan bu hizmetleri kullanmaktan vazgeçmelerinin daha kolay olması gerektiğini söyledi. Hatta şirketlerin sürücülerden varsayılan olarak bu hizmetleri kullanmayı seçmelerini istemeleri gerektiğini belirttiler.

    Choffnes, "İnternete bir şekilde bağlı olmayan bir araba satın almak giderek imkansız hale geliyor," dedi. "Bu tür veri toplama işleminden vazgeçmeleri durumunda, arabalarının büyük ölçüde kullanılamaz hale gelmesi mantıklı değil."