TL;DR

  • Northeastern University와 Consumer Reports가 최신 차량 21대와 연동 앱 30개를 조사한 결과, 차량 19대가 제3자에게 데이터를 전송했고 앱은 광고·추적 업체에 대한 노출을 대체로 두 배로 늘림.
  • 연구진은 Raspberry Pi 와이파이(Wi-Fi) 접속 지점으로 차량의 통신을 수집하고, 정차·주행 및 셀룰러 통신 차단 조건에서 데이터 흐름을 조사함.
  • 연동 앱 7개가 차대번호(VIN), 이메일, 전화번호, 정밀 위치 등 민감한 식별 정보를 광고·추적 관련 제3자에게 전송했으며, Tesla와 General Motors 차량은 제3자 데이터 공유 빈도가 특히 높았음.
  • 조사에 응답한 제조사 14곳은 데이터 전송이 제3자 서비스 계약에 따른 것이라고 답했으며, 데이터 공유를 거부하면 내비게이션·운전자 보조·무선 업데이트 기능이 비활성화될 수 있음.
  • 연구진은 차량 제조사의 공개 정보와 실제 데이터 공유 사이에 큰 차이가 있다며, 차량 데이터 생태계 전반의 투명성 강화를 요구함.

연결 차량의 데이터 흐름 조사

  • 자동차 업계에서 대형 인포테인먼트 화면과 연결 기능이 지난 10여 년 동안 보편화되면서 차량은 데이터를 수신할 뿐 아니라 외부로 전송하고 있음.
  • Northeastern University는 Consumer Reports와 협력해 최신 차량 21대와 연동 모바일 앱 30개를 시험하고, 연결 차량 생태계가 개인정보에 미치는 영향을 조사함.
  • 연구진은 Raspberry Pi 와이파이 접속 지점을 이용해 차량의 와이파이 트래픽을 수집하고 데이터 전송 대상을 확인했으며, 시험 차량 21대 중 19대가 제3자에게 데이터를 보내는 것으로 나타남.
  • 시험에는 General Motors, Stellantis, Fisker, Ford, Honda, Land Rover, Toyota, Lucid, Mercedes-Benz, Nissan, Rivian, Tesla, Volvo의 차량이 포함됨.
  • 연구진은 정차 상태의 비활성·활성 시험과 시속 5~45마일 주행 시험을 진행했으며, 가속과 급제동도 포함함.
  • 셀룰러 통신 차단이 와이파이 통신을 늘리는지 확인하기 위해 전기차 11대를 감쇠량 93dB의 패러데이 텐트에 넣어 셀룰러 연결을 완전히 차단함.

차량 제조사와 앱의 데이터 공유

  • 연구 결론에 따르면 차량은 다양한 실제 조건에서 제조사 도메인과 차량별 지원 업체뿐 아니라 광고 및 추적 서비스를 제공하는 것으로 알려진 제3자와도 통신함.
  • 연동 앱까지 분석하면 차량 소유자는 추가적인 개인정보 민감 앱 트래픽(ATA) 통신에 노출되며, 일부 사례에서는 추적 업체가 24곳 이상 추가됨.
  • 연동 앱 30개 중 7개는 차대번호, 이메일 주소, 전화번호, 정밀 위치 등 민감한 식별 정보를 광고·추적 관련 제3자에게 전송함. 이 앱들은 평균적으로 차량의 광고·추적 업체 노출을 대략 두 배로 늘림.
  • 연구에 따르면 Tesla와 General Motors 차량은 제3자와 데이터를 훨씬 높은 빈도로 공유했으며, 사례에는 Cybertruck과 Cadillac Lyriq가 포함됨.
  • 데이터 수신처로 가장 자주 나타난 곳은 Alphabet, Amazon, Meta, Microsoft, Pinterest, Reddit임.
  • 연구 자료: automatictransmission.khoury.northeastern.edu

제조사의 대응과 데이터 공유 선택지

  • 연구진은 조사 결과와 관련해 제조사 17곳에 연락했으며, 대부분이 책임을 제3자 서비스 계약에 돌림.
  • 답변한 제조사 14곳은 모두 데이터 흐름이 해당 계약에 부합한다고 주장함. 제조사들은 계약의 범위가 상당히 넓을 수 있어 데이터 유출 가능성을 열어 둔다고 설명함.
  • 연구에 따르면 제조사 7곳은 소비자에게 책임을 돌리며, 차량의 제3자 앱이나 서비스 약관을 직접 확인할 책임이 소비자에게 있다고 주장함.
  • 데이터 공유 계약을 거부하면 내비게이션, 운전자 보조, 무선 소프트웨어 업데이트 같은 기능을 사용할 수 없게 될 수 있음.
  • 연구는 계약을 찾아낸 뒤 그 안에 설명된 데이터 공유가 불편하다고 판단하더라도 차량 소유자에게는 사실상 불공정한 선택지만 주어진다고 지적함.

“한 가지 눈에 띄는 예외로, Honda는 사용자 추적과 관련된 제3자에게 정밀 위치를 보내지 않도록 데이터 수집 관행을 개선함.”

투명성 격차와 개인정보 우려

  • Northeastern 연구진은 전체 생태계를 더 잘 파악하고 관련 피해를 식별·대응할 수 있도록 투명성을 높여야 한다고 밝힘.
  • 연구는 차량 제조사가 공개하는 정보와 실제 인터넷을 통한 차량 데이터 공유 사이에 큰 격차가 있다고 지적함.
  • CalMatters와 Consumer Reports의 조사에 따르면 개인 정보는 운전자의 지식 없이도 은행, 보험사, 제약회사, 대출업체, 소매업체가 운전자 프로필을 만드는 데 사용될 수 있음.