你經常聽到這樣的說法：現代汽車基本上就是裝了輪子的智慧型手機。就像你口袋裡的電話一樣，你車庫裡的汽車也會收集大量的數據——追蹤你的行駛地點、加速速度、煞車力道、轉彎的激進程度等等。
這些數據收集的合法性仍然是一個熱烈爭論的議題。去年，聯邦貿易委員會（FTC）因為通用汽車（General Motors）在未經明確同意的情況下，非法收集並出售精確位置和駕駛行為數據而對其進行處罰。其他汽車製造商，如福特（Ford）和本田（Honda），也因讓客戶極難選擇退出而面臨輕微罰款。儘管業界觀察家長期以來懷疑其他汽車製造商也在做同樣的事情，但這種做法直到現在才被系統性地調查。
本週，東北大學（Northeastern University）的研究人員與《消費者報告》（Consumer Reports）合作，對聯網汽車的隱私行為進行了深入的檢查。研究團隊利用了《消費者報告》測試車隊中的近二十幾輛汽車，試圖回答關鍵問題：哪些汽車會傳輸數據？誰會收到數據？數據是否會跨越國界？以及哪些個人身份資訊實際上被暴露了？
該項目的負責人、東北大學網路安全與隱私研究所前所長 David Choffnes 表示，目標是揭示現代汽車數據追蹤的規模之大，以及車主對此的掌控力有多麼微乎其微。
「我認為結論是，有很多值得擔憂的地方。」Choffnes 在一次採訪中說道。
為了獲得完整的圖像，研究人員分析了目前在美國銷售的 19 個品牌中的 21 款新型汽車，以及與活躍車輛相關聯的 30 款配套行動應用程式。
「我認為結論是，有很多值得擔憂的地方。」
對於直接從汽車傳送的流量，研究團隊識別了目的地網域——包括各種第三方追蹤公司——儘管他們無法在不駭入汽車的情況下解密加密的有效載體數據。
攔截 Wi-Fi 流量相對容易。研究人員在每輛車內放置了一個 Raspberry Pi，將其連接到汽車的 Wi-Fi，同時透過行動熱點路由其網路連線。這種設置讓他們在汽車行駛時能夠監控出站的 Wi-Fi 流量。
捕獲行動數據需要更具創意的方法。為了避免部署可能干擾公共網路的未經授權的行動基地台，研究團隊建造了一個汽車大小的法拉第帳篷。該帳篷阻擋了車輛與外部基地台之間的所有訊號傳輸，迫使汽車回退到受控的 Wi-Fi 連線。
結果令人震驚：21 輛汽車中，每一輛都透過 Wi-Fi 將數據傳送給至少一個第三方網域。超過一半的汽車聯繫了專門從事廣告、追蹤或分析（ATA）的公司。這些公司，如 Adobe、LexisNexis 和 Amplitude，會收集有關你的車輛或駕駛行為的詳細資訊，賣給保險公司或向你投放廣告。
配備先進資訊娛樂系統的汽車——特別是運行 Google Android Automotive OS 並搭載 Google Automotive Services 的汽車——聯繫了最多的第三方網域。Choffnes 指出，汽車製造商選擇的軟體平台直接影響了有多少數據會傳送給第三方。例如，Google 的平台包含與 Google 自有服務及外部實體進行通訊的內建例程。
「我們透過汽車內建的應用程式也看到了很多追蹤。」Choffnes 說。「所以現在，汽車基本上變成了全球性的智慧型手機。」
行動應用程式也呈現出同樣不安全的傳輸途徑。研究團隊發現，七款配套應用程式——HondaLink、Lincoln、My Nissan、my Cadillac、my Chevrolet、my Buick 和 my GMC——將車輛識別碼（VIN）、電話號碼和精確位置等敏感細節直接傳送給廣告網路。超過 70% 的受測配套應用程式聯繫了至少五個獨特的 ATA 網域。
研究人員特別對將車輛的 VIN 與可識別的個人數據配對感到擔憂，這使得數據經紀人能夠建立詳細的個人駕駛者檔案。
「我們有點覺得，『哦，好吧，如果你的線上公司可以追蹤你在網路上做的事情，但你在車裡，他們會追蹤你有什麼車嗎？』」Choffnes 說。「我們看到他們實際上可以。而且這些數據會被傳送給大多數消費者可能沒有關係或從未聽過的 شركة。」
汽車製造商對這些發現的反應不一。有些公司為其做法辯護，認為它們符合法律規定，而有些公司則承認了漏洞並發布了軟體修復。例如，本田在看到東北大學團隊的調查結果後，要求其分析供應商 Amplitude 刪除所有收集到的位置數據，並更新了 HondaLink 應用程式，停止傳輸地理位置資訊。
Choffnes 認為，更深層次的問題在於，消費者在購買聯網汽車或設置其應用程式時，很少真正理解他們同意了什麼。大多數駕駛者不會在經銷商的停車場裡，在同意條款之前，盯著微小的儀表板螢幕閱讀密密麻麻的隱私政策。
「我認為結果是，人們的信任度不高。」Choffnes 說。「我認為汽車製造商最好能贏回這種信任。其中一種方法是提高透明度，並幫助消費者在購買昂貴的產品後，不要在未獲得更明確的選擇加入（opt-in）而非選擇退出（opt-out）的情況下，被收集有關他們的數據。」
