Investigadores de la Universidad Northeastern, trabajando junto al Centro de Pruebas de Automóviles de Consumer Reports en Connecticut, examinaron 21 vehículos de los modelos 2022 a 2025 y 30 aplicaciones móviles complementarias entre octubre de 2024 y agosto de 2025. Para ver a dónde enviaban los datos los coches, crearon un punto de acceso Wi‑Fi personalizado en una Raspberry Pi y usaron tcpdump para registrar todos los paquetes, revelando los destinos pero no el contenido cifrado. Para aislar las señales inalámbricas, colocaron los vehículos dentro de una tienda de Faraday que bloqueaba las transmisiones celulares con aproximadamente 93 dB de atenuación, forzando cualquier tráfico restante a usar Wi‑Fi. En cuanto a las aplicaciones complementarias, instalaron certificados raíz personalizados en iPhones y redirigieron el tráfico mediante mitmproxy, lo que les permitió descifrar y registrar la información real transmitida mientras probaban cada función, como la apertura remota del maletero, las comprobaciones de geolocalización y la revisión del historial de servicio.
Esta imagen representa un automóvil conectado moderno similar a aquellos que fueron sometidos a pruebas para transmitir datos personales a empresas de publicidad y seguimiento.
La investigación descubrió que 19 de los 21 vehículos contactaron al menos un dominio de terceros por Wi‑Fi, incluidos dominios conocidos por publicidad y seguimiento. Siete de las 30 aplicaciones transmitieron identificadores sensibles—números de identificación del vehículo (VIN), direcciones de correo electrónico, números de teléfono y ubicaciones geográficas precisas—hacia terceros asociados con publicidad y seguimiento. Emparejar una aplicación complementaria con un vehículo aproximadamente duplicó el número medio de empresas de publicidad y seguimiento contactadas, y en algunos casos añadió más de dos docenas de nuevos rastreadores al perfil de compartición de datos del vehículo. Los principales receptores de datos de conductores mencionados en el estudio incluyen Amazon, Google, Meta, Microsoft, Pinterest, Snap y Yahoo, y casi todos los fabricantes enviaron datos a empresas externas.
Esta imagen muestra el montaje experimental utilizado para evitar interferencias celulares, permitiendo a los investigadores capturar únicamente el tráfico Wi‑Fi de los vehículos.
Tras ser notificados de los resultados, Honda destacó indicando a su proveedor Amplitude que eliminara todos los datos de ubicación previamente recibidos y dejara de enviar la geolocalización precisa a un rastreador de terceros, mientras que otros fabricantes tendieron a transferir la responsabilidad a los consumidores, señalando que el intercambio de datos se describe en los términos y condiciones que aceptan al activar las funciones de vehículo conectado. Algunas empresas advirtieron que rechazar esos acuerdos podría provocar una reducción de funcionalidad, daños graves o incluso inoperabilidad, como ilustra la advertencia de Tesla de que optar por no participar podría resultar en una funcionalidad reducida del vehículo. El estudio pone de manifiesto una brecha sustancial entre lo que los fabricantes divulgan públicamente sobre la recopilación de datos y lo que realmente ocurre en el campo, sugiriendo la necesidad de mayor transparencia y controles más claros para los consumidores a fin de abordar los riesgos de privacidad inherentes al ecosistema moderno de vehículos conectados.