Voitures connectées : des données envoyées à des tiers

Des chercheurs de la Northeastern University et de Consumer Reports ont analysé 21 véhicules récents issus de 19 marques vendues aux États-Unis, ainsi que 30 applications mobiles associées. Selon leurs travaux, rapportés par The Verge, les 21 véhicules testés transmettaient des données vers au moins un domaine tiers via le Wi-Fi.

Plus de la moitié des véhicules testés contactaient des domaines publicitaires, de suivi ou d'analyse. Les modèles dotés de systèmes d'infotainment avancés, en particulier ceux fonctionnant sous Android Automotive OS de Google avec les Google Automotive Services, contactaient le plus grand nombre de domaines tiers.

Sept applications compagnon — HondaLink, Lincoln, MyNissan, myCadillac, myChevrolet, myBuick et myGMC — envoyaient des numéros d'identification de véhicule (VIN), des numéros de téléphone et des localisations précises à des réseaux publicitaires. Plus de 70 % des applications testées contactaient au moins cinq domaines publicitaires, de suivi ou d'analyse distincts.

Ces constats s'inscrivent dans un contexte de pression réglementaire accrue. La Federal Trade Commission a sanctionné General Motors l'an dernier pour avoir collecté et vendu des données de localisation précise et de comportement de conduite sans consentement éclairé. Ford et Honda ont écopé d'amendes mineures pour avoir compliqué l'opposition des clients au partage de données.

Pour capturer le trafic Wi-Fi et cellulaire des véhicules, les chercheurs ont utilisé un Raspberry Pi et une tente de Faraday. David Choffnes, chef de projet et ancien directeur du Cybersecurity and Privacy Institute de Northeastern, a piloté ces travaux.