Espías sobre ruedas: cómo los fabricantes de coches recopilan y luego revenden información

¿Adivina cuál de tus posesiones es más activa en la recopilación de tu información personal para su análisis y reventa?

Tu coche. Según los expertos de Mozilla Foundation, ni los relojes inteligentes, ni los altavoces inteligentes, ni las cámaras de vigilancia ni ningún otro dispositivo analizado por el proyecto Privacidad no Incluida se acercan a los volúmenes de recopilación de datos de los coches modernos. Este proyecto involucra a expertos que examinan los acuerdos de usuario y las políticas de privacidad para comprender cómo los dispositivos usan los datos personales de los propietarios.

Por primera vez en la historia del proyecto, absolutamente todas las marcas de coches revisadas (25 de 25) recibieron una “tarjeta roja” por recopilación inaceptablemente amplia de información personal, falta de transparencia en su uso, transmisión de datos y prácticas de almacenamiento mal documentadas (por ejemplo, no se sabe si se usa cifrado). Peor aún, 19 de cada 25 marcas declaran oficialmente que pueden revender la información que recopilan. La guinda del pastel de esas infracciones de privacidad es que los propietarios de coches casi no tienen la capacidad de excluirse de la recopilación y transmisión de datos. Solo dos marcas, Renault y Dacia, ofrecen a los propietarios el derecho a eliminar los datos personales recopilados; sin embargo, ni siquiera es tan fácil darse cuenta de si debes ejercer este derecho.

Enterrado en lo más profundo de los contratos de licencia que los compradores de coches suelen aceptar sin siquiera leerlos, hay infracciones absolutamente escandalosas de los derechos de privacidad. Por ejemplo, el consentimiento del propietario para compartir sus preferencias sexuales e información genética (Nissan), la divulgación de información a solicitudes informales de las agencias de seguridad (Hyundai) y la recopilación de datos sobre los niveles de estrés, además de otras 160 categorías de datos con nombres deliberadamente imprecisos como “información demográfica”, “imágenes”, “información de pago”, “geolocalización”, etc.

La peor marca de todas en las clasificaciones fue Tesla, que obtuvo, además de todos los demás puntos de penalización posibles, una etiqueta especial: “IA no confiable”.

Cómo recopilan información los coches

Los coches modernos están literalmente repletos de sensores, que van desde sensores del motor y del chasis que miden cosas como la temperatura del motor, el ángulo del volante o la presión de los neumáticos, hasta otros más interesantes, como cámaras perimetrales e interiores, micrófonos y sensores de presencia de manos en el volante.

Todos ellos están conectados en un único puerto, por lo que el ordenador principal del coche recibe de forma centralizada toda esta información. Además, todos los coches modernos están equipados con módulos de comunicación móvil y GPS, Bluetooth y WiFi. La presencia de comunicaciones móviles y GPS en muchos países está determinada por la ley (para pedir ayuda automáticamente en caso de accidente), pero los fabricantes usan esta función para la comodidad del conductor y de ellos mismos. Puedes planificar rutas en la pantalla del coche, diagnosticar averías de forma remota, arrancar el coche con antelación… Y, por supuesto, el puente “sensores y cámaras → ordenador del coche → red móvil” crea un canal constante para la recopilación de información: a dónde vas, dónde y durante cuánto tiempo aparcas, con qué fuerza giras el volante y aceleras, si usas cinturones de seguridad, etc.

Se recopila más información del teléfono inteligente del conductor cuando está conectado al sistema a bordo del coche para hacer llamadas, escuchar música, navegar, etc. Y, si el teléfono inteligente está equipado con una aplicación móvil del fabricante del coche para controlar las funciones del coche, los datos se pueden recopilar incluso cuando el conductor no está en el coche.

A su vez, la información sobre los pasajeros se puede recopilar a través de cámaras, micrófonos, puntos de acceso wifi y funciones de Bluetooth. Con esto, es fácil saber quién viaja regularmente en el coche con el conductor, cuándo y dónde entran y salen, qué teléfono inteligente usan, etc.

¿Por qué los fabricantes de coches necesitan esta información?

Para ganar más dinero. Además del análisis para “mejorar la calidad de los productos y servicios”, los datos se pueden revender y las funciones del coche se pueden adaptar para obtener mayores beneficios para el fabricante.

Por ejemplo, las empresas de seguros compran información sobre el estilo de conducción de un conductor en particular para predecir con mayor precisión la probabilidad de accidentes y ajustar los costes del seguro. En 2020, el 62 % de los coches estaban equipados de fábrica con esta controvertida función, y se espera que esta cifra aumente al 91 % para 2025.

Las empresas de marketing también están ansiosas por usar esos datos para orientar la publicidad sobre la base de los ingresos, el estado civil y el estado social del propietario.

Pero, incluso sin revender datos personales, hay muchos otros escenarios de monetización desagradables, como habilitar o deshabilitar funciones adicionales del coche a través de suscripciones, como BMW intentó hacer sin éxito con los asientos con calefacción, o vender coches costosos a crédito con bloqueo forzado del coche en caso de incumplimiento de pago.

¿Qué más tiene de malo la recopilación de datos y la telemática?

Incluso si piensas que “los anuncios no tienen nada de malo” y “no hay nada interesante que puedan aprender sobre mí”, considera los riesgos adicionales a los que estáis expuestos tu coche y tú debido a las tecnologías descritas anteriormente.

Fuga de datos. Los fabricantes recopilan activamente tu información y la almacenan permanentemente, sin la protección suficiente. Recientemente, Toyota admitió haber filtrado 10 años de datos, todos recopilados de millones de vehículos habilitados para la nube. Audi ha filtrado información sobre 3,3 millones de clientes. Otros fabricantes de coches también han sido víctimas de infracciones de datos y ciberataques. Si esta cantidad de datos personales cae en manos de delincuentes y estafadores reales, no solo de los especialistas en marketing, podría significar un desastre.

Robo. En 2014, exploramos la posibilidad de robar un vehículo a través de funciones en la nube. Desde 2015, ha quedado claro que los delincuentes que se apoderan de un coche de forma remota no son una fantasía futurista, sino una cruda realidad. Los ladrones de coches en los últimos años a menudo se aprovechan de la transmisión remota de señales de un llavero legítimo, pero la epidemia de “secuestros en TikTok” de KIA y Hyundai del año pasado se basó en las funciones inteligentes del coche y solo requirió que el ladrón insertara una unidad USB.

Vigilancia de familiares. Cuando el coche no te pertenece a ti, sino a un familiar o empleador, el propietario puede rastrear la ubicación del coche, establecer límites geográficos para su uso, establecer límites de velocidad y tiempos de conducción permitidos, ¡e incluso controlar el volumen del sistema de audio! Muchas marcas de coches, como Volkswagen y BMW, ofrecen estas características. Como sabemos por nuestra investigación sobre el stalkerware y los recientes escándalos de seguimiento con AirTag, estas capacidades simplemente están pidiendo a gritos que se haga un mal uso de ellas.

¿Cómo reducir los riesgos?

Debido a la magnitud del problema, no existen soluciones sencillas. Por lo tanto, estas son algunas opciones de mitigación en orden descendente de radicalidad:

1. Caminar o montar bicicleta.
2. Comprar un modelo de coche antiguo. Casi todos los coches fabricados antes de 2012 tienen capacidades de recopilación y transmisión de datos muy limitadas.
3. Comprar un coche con un conjunto mínimo de sensores “inteligentes” o sin módulo de comunicación. Algunos fabricantes ofrecen configuraciones básicas con capacidades limitadas, pero esto requiere leer detenidamente el manual del usuario. La ausencia de un módulo de comunicación dedicado (GSM/3G/4G) en el coche es un indicio confiable de sus capacidades limitadas. Ten en cuenta que cada vez más coches vienen con funciones inteligentes incluso en configuraciones básicas (esta posibilidad ya ha sido aprovechada por los televisores inteligentes: ganan dinero recolectando y vendiendo datos).
4. No instalar la aplicación móvil del coche en el teléfono. Por supuesto, encender el coche desde tu teléfono inteligente o calentarlo antes de subirte es conveniente, pero, ¿es necesario pagar estas funciones con información profundamente personal, además del dinero que gastas? Muy discutible.
5. No activar las funciones de emparejamiento CarPlay o Android Auto de Apple. Cuando se activan estas funciones, el fabricante del SO del teléfono inteligente obtiene todo tipo de información del coche y, a su vez, el coche recupera información del teléfono.
6. No conectar el coche al teléfono a través de Bluetooth o wifi. De esta manera, nuevamente, pierdes parte de la funcionalidad, pero al menos el coche no enviará información al fabricante a través del teléfono, ni descargará los contactos del teléfono y otros datos personales. Puedes elegir un punto medio estableciendo una conexión Bluetooth solo para los protocolos de “auriculares”: podrás reproducir música desde tu teléfono a través de los altavoces del coche, pero la transmisión de otros tipos de datos (como los contactos) no estará disponible.
7. Un consejo adicional, que no excluye a los anteriores: Mozilla sugiere firmar una petición colectiva para los fabricantes de coches, en la que los insta a cambiar su modelo de negocio y a dejar de ganar dinero espiando a los clientes. ¡Poder para el pueblo que lo solicita!