Des chercheurs de l’université Northeastern, en partenariat avec Consumer Reports, ont analysé le trafic de données de 21 véhicules et 30 applications de constructeurs différents. Les résultats de cette étude, qui seront présentés lors de la Internet Measurement Conference en octobre, révèlent que tous les véhicules, à l’exception de deux, communiquent avec des entreprises tierces, et que sept des applications transmettent des informations sensibles à des sociétés de publicité ou de pistage. Des fonctionnalités comme l’accès à distance, la navigation ou les alertes de maintenance sont souvent présentées comme des commodités pour les consommateurs. L’étude a montré qu’une Tesla Model 3 communique avec 34 domaines de pistage – liés à la publicité, au pistage ou à l’analyse de données –, contre 23 pour le Cybertruck. À l’inverse, la Buick Envista et la Mercedes EQS n’envoient des données qu’à leurs constructeurs respectifs. Pour évaluer la gestion de la perte de signal par les véhicules, les chercheurs ont placé 11 voitures électriques dans une tente de Faraday, qui bloque les signaux des réseaux mobiles. Certaines ont basculé vers le Wi-Fi, révélant 27 traceurs supplémentaires pour la Model 3 et 14 pour le Cybertruck. Les applications mobiles proposées par les constructeurs, installées sur les smartphones, amplifient encore le partage de données. Soixante-dix pour cent de ces applications contactent plus de cinq traceurs, contre 29 % des véhicules. La Buick Envista et la Nissan Ariya, qui émettent très peu de données depuis le véhicule lui-même, partagent des informations avec plus de 20 entreprises de publicité ou d’analyse lorsqu’on prend en compte leurs applications mobiles. Sept applications – HondaLink, Lincoln, MyNISSAN, myCadillac, myChevrolet, myBuick et myGMC – transmettent le numéro de série du véhicule (VIN), une adresse e-mail, un numéro de téléphone ou une localisation à des sociétés comme Adobe, Google, Meta ou Snap. Contrairement à l’identifiant publicitaire d’un smartphone, qui peut être réinitialisé, le VIN est attribué lors de la fabrication et ne change jamais. Lorsqu’il est associé à une adresse e-mail, il relie le propriétaire, son véhicule et son comportement en ligne sur différentes plateformes. L’an dernier, la Commission fédérale du commerce (FTC) a accusé General Motors (GM) d’avoir revendu à Verisk et LexisNexis des données sur la localisation et les habitudes de conduite de ses clients, collectées via OnStar, ce qui aurait pu entraîner une hausse des primes d’assurance. Quatre des sept applications concernées appartiennent à GM. Sur les 17 constructeurs contactés par les chercheurs, 14 ont répondu. Certains ont expliqué que les traceurs s’inscrivaient dans des contrats avec des prestataires de services, tandis que d’autres ont indiqué qu’ils étaient intégrés dans des pages web ouvertes ou des navigateurs intégrés aux applications. Certains ont renvoyé la responsabilité au client, l’invitant à consulter les conditions d’utilisation. Tesla a prévenu qu’un refus de la collecte de données pourrait entraîner une réduction des fonctionnalités ou des dommages potentiels au véhicule. Seul Honda a pris des mesures en demandant à Amplitude, un outil d’analyse d’usage, de supprimer les données de localisation qu’il avait reçues. Résultat : HondaLink ne transmet plus d’informations de localisation.