ノースイースタン大学の研究者らは、コネチカット州のコンシューマーレポート自動車テストセンターと協力し、2022年から2025年モデルの21台の車両と、2024年10月から2025年8月までの間に30のコンパニオンモバイルアプリを調査した。車がデータを送信している先を確認するため、ラズベリーパイにカスタムWi‑Fiアクセスポイントを設置し、tcpdumpを使ってすべてのパケットを記録した。これにより宛先は分かったが、暗号化された内容は分からなかった。無線信号を隔離するため、車両を約93dBの減衰でセルラー伝送をブロックするファラデーテントに入れ、残りの通信をWi‑Fiに強制した。コンパニオンアプリについては、iPhoneにカスタムルート証明書をインストールし、mitmproxyを経由してトラフィックをルーティングすることで、リモートトランク開封、ジオロケーションチェック、サービス履歴の確認などのすべての機能を実行しながら、送信される実際の情報を復号・記録した。
この画像は、広告・追跡会社に個人データを送信するテストで使用されたものと同様の最新のコネクテッド自動車を描いている。
調査の結果、21台の車両のうち19台がWi‑Fi経由で少なくとも1つのサードパーティドメインと通信しており、その中には広告や追跡で知られているドメインも含まれていた。30のアプリのうち7つが、車両識別番号（VIN）、メールアドレス、電話番号、正確な地理位置情報などの機密識別子を、広告・追跡関連のサードパーティに送信していた。コンパニオンアプリと車両をペアリングすると、広告／追跡会社との接続先の平均数がほぼ2倍になり、場合によっては車両のデータ共有プロファイルに2ダース以上の新しいトラッカーが追加された。ドライバーのデータ受信先として研究で名前が挙げられたのは、Amazon、Google、Meta、Microsoft、Pinterest、Snap、Yahooなどで、ほぼすべての自動車メーカーが外部の会社にデータを送信していた。
この画像は、セルラー干渉を防ぐための実験セットアップを示しており、研究者が車両からのWi‑Fiトラフィックのみをキャプチャできるようにしている。
結果が通知された後、ホンダはベンダーのAmplitudeにこれまで受信したすべての位置情報データを削除し、サードパーティのトラッカーへの正確なジオロケーションの送信を停止するよう指示したことで際立っていた。一方で他のメーカーは、データ共有はコネクテッド車両機能の設定時にユーザーが同意する利用規約に記載されているとし、責任を消費者に転嫁する傾向があった。一部の企業は、これらの契約を断ると機能の低下、深刻な損傷、さらには動作不能につながる可能性があると警告しており、テスラの「オプトアウトすると車両の機能が低下する可能性がある」という警告がその例である。この研究は、メーカーが公表しているデータ収集の内容と実際に起きていることの間に大きなギャップがあることを指摘し、現代のコネクテッド車両エコシステムに内在するプライバシー risks に対処するため、より高い透明性と明確な消費者コントロールが必要であることを示唆している。