Des chercheurs de la Northeastern University ont analysé le trafic de 21 véhicules et de 30 applis de constructeurs, avec Consumer Reports. Tous les modèles sauf deux contactent une entreprise tierce, et sept applis envoient des données sensibles à des sociétés de publicité ou de suivi.
Ouverture à distance, navigation, alertes d'entretien : les services connectés se vendent comme un confort. L'étude, qui sera présentée en ce mois d'octobre à l'Internet Measurement Conference, regarde ce qui circule en coulisses, et qui en profite.
34 domaines de traqueurs pour une Tesla Model 3
Une voiture connectée n'a pas besoin de téléphone pour échanger avec des serveurs. Elle dispose de sa propre connexion et des services intégrés, comme la navigation ou Spotify. Les chercheurs ont branché chaque voiture sur leur Wi-Fi. Le trafic est chiffré et les voitures rejettent les faux certificats des chercheurs : impossible de lire les messages. Le trafic est chiffré : seuls restent visibles les adresses contactées, le volume de données et le moment des envois.
Au total, la Model 3 contacte 34 traqueurs (des domaines liés à la publicité, au suivi ou à l'analyse) contre 23 pour le Cybertruck. La Buick Envista et la Mercedes EQS n'envoient de leur côté que des données à leur constructeur. Comme l'eSIM du constructeur rend le réseau mobile inaccessible, l'équipe a enfermé 11 véhicules électriques dans une tente de Faraday, qui bloque les ondes. Certains ont alors basculé sur le Wi-Fi, révélant 27 traqueurs de plus pour la Model 3 et 14 pour le Cybertruck.
L'application mobile du constructeur, installée sur le smartphone, aggrave encore un peu plus les choses. 70% d'entre elles contactent plus de cinq traqueurs, contre 29% des véhicules. La Buick Envista et la Nissan Ariya, quasi muettes côté voiture, passent à plus de 20 sociétés de publicité ou d'analyse lorsqu'on prend en compte leur application mobile.
Sept applications (HondaLink, Lincoln, MyNISSAN, myCadillac, myChevrolet, myBuick, myGMC) transmettent à ces sociétés le numéro de série du véhicule (VIN), un e-mail, un téléphone ou une position. Et ces données sont envoyées vers Adobe, Google, Meta ou Snap. Or, contrairement à l'identifiant publicitaire d'un smartphone qu'il est possible de réinitialiser, le VIN, lui, est attribué à la fabrication et ne change jamais. Associé à un e-mail, il relie un propriétaire, sa voiture et son historique sur d'autres sites et sur d'autres applications. L'année dernière, la FTC accusait GM d'avoir revendu à Verisk et LexisNexis la position et le style de conduite de ses clients via OnStar, avec des primes d'assurance à la clé. Soulignons que quatre de ces sept applications appartiennent à GM.
Sur 17 constructeurs contactés par les chercheurs, 14 ont répondu. Certains expliquent avoir des contrats avec des prestataires. D'autres affirment que les traqueurs sont enfouis au sein des pages web ouvertes dans un navigateur intégré à l'application. D'autres encore pointent la responsabilité du client de lire chaque condition d'utilisation.
Tesla prévient que le refus de cette collecte peut avoir des conséquences comme des fonctionnalités réduites et des dommages sérieux. Seule Honda a bougé en demandant à Amplitude, un outil d'analyse d'usage, d'effacer les données de localisation reçues. À ce jour, HondaLink n'envoie plus la position.
Retrouvez l'étude dans son intégralité.
