21辆车实测：七款App把VIN和位置发给广告追踪公司，除两辆外全都联系第三方

CyberOk

2026年10月20日 11:47
北京

去阅读

编者荐语：

这项研究没有证明所有车都在实施“间谍”活动，但它用可复核的流量证据说明，联网汽车的数据分享比隐私政策写的更宽、更杂，而且车主很难真正退出。

以下文章来源于网空闲话plus
，作者网空闲话

网空闲话plus
.

专注于网络安全、情报科技及数字时代安全议题，以专业视角解读网络威胁、数据隐私、人工智能安全等热点。希望汇聚行业动态、技术解析与案例分析，为读者提供权威、实用的信息，助力个人、企业及机构提升网络安全意识与防护能力。

测量研究

21辆车与30个App：联网汽车的数据流被摊开了

整车与配套App生态的网络流量测量 · IMC '26

美国东北大学的研究团队做了一件在汽车隐私研究里相当“奢侈”的事：借助Consumer Reports的测试车队，对21辆美国市场车辆（19个品牌）和30个配套手机App做网络流量测量，成果发表于ACM Internet Measurement Conference（IMC '26）。

安全社区博客Eye on Cyber（作者Denis Laskov）称之为汽车黑客和汽车网络安全研究者的“纯金矿”——网络流量、域名、内部与第三方系统，应有尽有；但也提醒“请负责任地使用”。需要先说清楚：这不是教人攻击，而是一次把“车到底把数据发给了谁”摊开来看的测量研究。

01背景：轮子上的智能手机

论文开篇即指出，现代汽车普遍具备Wi-Fi、蜂窝或卫星连接，配摄像头、麦克风、GPS、信息娱乐系统和厂商App。2016年Mozilla基金会把车企隐私政策称为“隐私噩梦”；近年多家车企被曝把车辆数据秘密分享给数据经纪商和保险公司，并引发美国联邦贸易委员会（FTC）对通用汽车（GM）的执法行动。

此前研究多聚焦信息娱乐系统、隐私政策文本或车内组件，缺少对“整车+配套App”生态的系统测量。原因很现实：车太贵、蜂窝连接难拦截、遥测控制单元多为专有硬件。研究者与Consumer Reports合作，正是为了绕开“买车成本”和“测试车队可得性”这两个障碍——论文估算，若自行采购这21辆车，花费将超过120万美元。

◆ ◆ ◆

02方法：拦截、帐篷与蜂窝捕获

测试时间为2024年10月至2025年8月。车辆端，研究者用树莓派搭建自定义AP，以tcpdump记录21辆支持Wi-Fi的车辆在“静止怠速30分钟”“静止活跃30分钟”“场地驾驶15分钟（5—45 mph，含急加速、急刹、急转）”三类条件下的流量。由于车辆强制证书校验，研究者无法解密载荷，只能看DNS、TLS握手中的SNI、流量体积与时序等元数据。

• —为阻断蜂窝、观察流量是否转到Wi-Fi，他们把11辆支持Wi-Fi的电动车开进专业法拉第帐篷（5.8m×2.75m×2.45m，约93 dB衰减）
• —蜂窝拦截方面，2024款特斯拉Model 3因有用户可接触的实体SIM卡槽而成为唯一成功案例：研究者用sysmocom SIM、T-Mobile凭证和Amarisoft AMARI Callbox Classic在帐篷内模拟本地LTE/5G网络，以符合FCC对授权频谱的规定
• —App端，30个配套App（对应32辆车，部分厂商跨品牌共用App）安装在测试iPhone上，通过mitmproxy和自定义根证书解密流量；对证书固定的关键第一方域名则跳过拦截

论文明确局限：车辆流量无法解密、部分App第一方域名无法解密、除Model 3外蜂窝流量不可见，因此结果是隐私风险的“下界”，不是全貌。

◆ ◆ ◆

03车辆端：第三方与品牌差异

论文从1,338个唯一FQDN中手工分类出227个第一方、136个支持类、600个集成类、367个广告/追踪/分析（ATA）类，另有8个因信息不足归为其他。现有EasyList、EasyPrivacy、Disconnect、App X-Ray等列表在本文数据上误分类360个FQDN（26.91%）：300个ATA FQDN中262个被正确识别，38个未被分类；另有142个FQDN被误报为ATA。

核心发现

• —21辆车中除两辆外，至少联系一个第三方；这两辆例外是别克Envista和奔驰EQS，仅联系第一方
• —11辆车至少联系一个ATA SLD，这些车平均8.7个唯一ATA SLD（中位数5）
• —车辆最多只联系4个第一方SLD，但平均联系9.29个集成第三方（中位数5）
• —按联系车辆数排序的头部第三方公司：Alphabet（Google）13辆、Amazon 12辆、Spotify 8辆、Liberty Media 7辆、Cloudflare 6辆、Microsoft 6辆、TomTom 5辆、HERE 4辆、Mapbox 4辆、Meta 3辆

差异极大：特斯拉Model 3的ATA SLD为34、集成第三方36；Cybertruck为23和37；凯迪拉克Lyriq为10和21；Lucid Air为9和15；雪佛兰Blazer为7和18；而别克Envista、奔驰EQS仅第一方，路虎揽胜仅一个支持类第三方。论文指出，信息娱乐系统越复杂、采用Android Automotive OS和Google Automotive Services的车辆，联系第三方越多；同集团品牌也可能因系统配置不同而表现迥异。

实验条件也影响流量。静止活跃比静止怠速联系更多域名，尤其凯迪拉克Lyriq、特斯拉Cybertruck、Lucid Air、特斯拉Model 3的ATA域名增加最多；Rivian R1S和Fisker Ocean是少数活跃时追踪域名反而减少的。驾驶时，路虎、奔驰、日产等会关闭Wi-Fi，整体流量和域名数下降；特斯拉Cybertruck是例外，驾驶时比静止怠速多联系19个集成第三方和7个ATA域名。帐篷实验呈双峰：部分车辆把蜂窝流量转到Wi-Fi，暴露更多集成第三方和ATA域名；也有车辆（雪佛兰Blazer、Rivian R1S、凯迪拉克Lyriq、本田Prologue）因依赖蜂窝引导而子系统关闭。

特斯拉Model 3案例显示，conviva.com这个分析追踪域名只在蜂窝接口出现，蜂窝被阻断后转到Wi-Fi——这证明只看Wi-Fi会漏掉流量。

◆ ◆ ◆

04App端：追踪器更多，PII更敏感

30个App中，70%联系超过5个唯一ATA SLD，而车辆端只有29%。配套App通常让车辆生态的ATA暴露至少翻倍；别克Envista、日产Ariya这类车辆端ATA很少的车型，加上App后可达20多家ATA公司。

App不仅联系Google DoubleClick、Facebook、Adobe等常见追踪器，还联系车载场景特有域名，如api.autointel.ai、b2hxaklanc.traqcliq.com、cfasets.dealerinspire.com。

更敏感的是PII：7款App向ATA第三方发送敏感标识，VIN是最常见的一项，被分享给Google、Microsoft、Meta等；论文结论称6款App把VIN与至少一种其他PII（位置、电话或邮箱）一起发给ATA服务。具体而言：

• —HondaLink向Amplitude发送VIN和精确位置
• —MyNISSAN向Alchem发送VIN、位置和电话
• —myCadillac、myChevrolet、myBuick、myGMC向Adobe、Acxiom、ContentSquare、FullStory、Google、Meta、Microsoft、Pinterest、Snap、Yahoo等发送VIN、位置、电话、邮箱等信息

VIN像手机IMEI/IDFA一样稳定且不可重置，一旦与邮箱、位置绑定，就可能支持跨场景用户追踪。

◆ ◆ ◆

05政策与回应：责任下移

研究者于2025年5月审查了7款共享PII的App隐私政策：所有厂商都披露“可能与第三方共享PII”，但不说具体第三方和目的；GM、Lincoln、Nissan披露共享VIN；Nissan还声称共享VIN比共享其他唯一标识更保护隐私，论文对此表示质疑。Honda政策称除IP地址外地理位置不卖给第三方广告，但HondaLink把VIN和精确位置发给了Amplitude；Honda回应称已要求Amplitude删除所有收到位置数据，并更新App不再向Amplitude发送地理位置。

研究者联系了18家厂商中的17家，收到14份回复，解释分三类：依赖第三方服务合同；数据来自App内嵌浏览器，用户不知情；软件定义汽车由消费者自行阅读并接受第三方条款。

论文认为，这种“责任下移”没有给车主真正选择权：拒绝Tesla数据共享会收到“功能减少、严重损坏或无法运行”的警告；拒绝Rivian则限制导航、车道保持和OTA更新。

◆ ◆ ◆

06跨境传输、影响与后续

论文还发现5辆车和6款App共联系13个境外IP，涉及荷兰、爱尔兰、德国、加拿大等，包括tomtom.com、facebook.com、here.com、microsoft.com、bmwgroup.com、dynatrace.com、loopme.me等。由于欧盟和加拿大消费者数据监管更严，跨境传输可能引发管辖冲突。

影响层面

• —对消费者：车辆和App让广告追踪从手机延伸到出行场景，VIN+位置+邮箱的组合可能识别车主、推断行程
• —对高危人群：论文背景提到车辆数据可能被施暴者用于跟踪
• —对行业：隐私政策与实际流量存在明显差距，且多数车机运行Google、Amazon等第三方软件，隐私政策不在车企完全掌控内
• —对监管：论文呼吁把车视为“互联系统之和”而非孤立产品，加强测量与审查

后续可预见的是：更多车企被要求说明第三方数据流；OTA和配置层面可能引入更强隐私保护；App端VIN等稳定标识的使用会受更严格审视；学术上需要可扩展的蜂窝拦截方法、服务端数据流测量和跨厂商复现。

Eye on Cyber的评价点出了这项研究的另一面：对防守方和研究者，它是理解车载生态数据流的“宝库”；对攻击者，同样有参考价值——所以论文和社区都强调“负责任使用”。

一句话总结：这项研究没有证明所有车都在实施“间谍”活动，但它用可复核的流量证据说明，联网汽车的数据分享比隐私政策写的更宽、更杂，而且车主很难真正退出。

参考文献

Nicole Zagon, Sarah Elizabeth Gillespie, Jason Veara, Devin Patel, David Choffnes, Alan Mislove, Aanjhan Ranganathan, Piotr Sapiezynski, Christo Wilson. “Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem.” Proceedings of the 2026 ACM Internet Measurement Conference (IMC '26), October 12–16, 2026, Karlsruhe, Germany. DOI: 10.1145/3777912.3839795.

Eye on Cyber (by Denis Laskov), “A car hacker's gold mine for connected cars: Capture and analyze network traffic from 21 vehicles,”

END

感谢阅读，欢迎关注、点赞与分享