ABD'de ölçülen 30 araç uygulamasının 7'si şasi numarası, e-posta ya da konumu reklam ve analiz şirketlerine gönderdi

Northeastern Üniversitesi araştırmacıları, ABD pazarındaki 21 bağlantılı aracı ve test alanındaki araçlarla eşleştirilen 30 telefon uygulamasını ölçtü. Ekim 2024 ile Ağustos 2025 arasında yapılan testlerde 30 uygulamanın 7'si şasi numarası (VIN), e-posta, telefon numarası ya da konum bilgisini reklam, izleme ve analiz şirketlerine gönderdi. Bu yedi uygulama General Motors'un dört uygulaması (myChevrolet, myCadillac, myBuick, myGMC), Ford'a ait Lincoln markasının uygulaması, MyNISSAN ve HondaLink. Hakemli çalışma Northeastern'in 29 Eylül 2026 tarihli duyurusuyla kamuoyuna açıklandı. Çalışmanın ölçtüğü şey verinin hangi şirketlere gittiği; bu şirketlerin veriyi satıp satmadığı ölçümün kapsamında değil.

Araştırma neyi, nasıl ölçtü?

Ekip, ABD'li tüketici kuruluşu Consumer Reports'un test için satın aldığı araç filosunu kullandı. Makaleye göre iki ayrı yerden bakıldı: aracın kendi internet trafiği ve üreticinin telefon uygulaması.

Uygulama trafiğinde şasi numarası, plaka, ad, e-posta, telefon, konum ve Wi-Fi ağ adı ile şifresi arandı; hem düz hâliyle hem MD5, SHA1 ve SHA256 ile özetlenmiş (hash) hâliyle.

Hangi uygulama hangi veriyi kime gönderdi?

Makalenin Tablo 6'sına göre dağılım şöyle (ABD uygulama sürümleri):

Araştırmacılara göre en sık gönderilen kişisel veri şasi numarası. Ekip, 17 haneli bu numaranın telefonlardaki reklam kimliği gibi sabit bir tanımlayıcı olarak kullanıldığından şüpheleniyor; farkı, telefondaki reklam kimliği sıfırlanabilirken şasi numarasının değiştirilememesi. Makaleye göre şasi numarası e-posta gibi bir veriyle aynı şirkete gittiğinde, o şirket aracın sahibini başka site ve uygulamalardaki davranışıyla eşleştirebilir. Şasi numarasının nerede yazdığını ve geri çağırma sorgusunda nasıl kullanıldığını şasi sorgulama rehberimizde anlatmıştık.

Listede olmayan markaların uygulamaları ne durumda?

Test edilen öteki uygulamalar arasında Toyota, FordPass, FIAT, Jeep, MyHyundai, KiaAccess, myVW, My BMW, Mercedes-Benz, Tesla ve Volvo Cars da var. Bu uygulamalarda aranan kişisel verinin üçüncü şirketlere gittiği görülmedi. Ancak makaleye göre biri hariç bütün uygulamalar birden çok reklam ve izleme şirketiyle bağlantı kurdu.

Kaynak: makale, Ek Tablo A4. Alan adı sayısı ile kişisel veri gönderimi ayrı ölçümler: kişisel veri gönderen HondaLink 6, myCadillac 51 farklı reklam/izleme/analiz alan adına bağlandı. Araştırmacılar, sabitlenmiş sertifika nedeniyle bazı üretici adreslerinin trafiğini çözemediklerini ve üretici sunucularından üçüncü taraflara giden verinin görünmediğini yazıyor; bu yüzden sonuçları bir alt sınır olarak tanımlıyorlar.

Araçların kendisi nereye bağlanıyor?

Araç trafiği şifreli olduğu için yalnız bağlanılan adresler görüldü. Çalışmanın sitesine göre 21 aracın 19'u Wi-Fi üzerinden en az bir üçüncü tarafa bağlandı. Makaleye göre 21 aracın 11'i en az bir reklam, izleme veya analiz alan adına ulaştı. En yüksek sayılar Tesla Model 3'te (34 farklı alan adı), Tesla Cybertruck'ta (23) ve Cadillac Lyriq'te (10) ölçüldü; Mercedes EQS ile Buick Envista yalnız üretici adreslerine bağlandı.

En az beş farklı reklam/izleme alan adına bağlananlar uygulamalarda yüzde 70, araçlarda yüzde 29. Makaleye göre Buick Envista ve Nissan Ariya gibi araçta neredeyse hiç böyle bağlantı görülmeyen modellerde uygulama da hesaba katılınca bağlanılan reklam/izleme şirketi sayısı 20 ve üzerine çıkıyor. Araştırmacılara göre araçların çoğunda uygulama, reklam/izleme şirketi sayısını en az ikiye katlıyor.

Üreticiler ne yanıt verdi?

Araştırmacılar 18 üreticiden 17'sine ulaştı (iflas eden Fisker dışında), 14'ü yanıt verdi. Yanıt verenlerin hepsi, veri akışlarının hizmet sağlayıcılarla yaptıkları sözleşmelere uygun olduğunu söyledi. Araştırmacılar ise bu sözleşmelere uyulsa bile kişisel veriyi alan her ek şirketin gizlilik ihlali olasılığını artırdığını yazıyor. Beş üretici, uygulamalarının üçüncü taraflarla veri paylaşmadığını, verinin uygulama içinde açılan web sayfalarındaki üçüncü taraflardan kaynaklanabileceğini söyledi; yedisi, araçtaki üçüncü taraf yazılımların koşullarını okumanın tüketicinin sorumluluğu olduğunu savundu.

Honda, bulgulardan sonra Amplitude'un kendisine gönderilen tüm konum verilerini silmesini istedi ve HondaLink'i Amplitude'a konum göndermeyecek şekilde güncelledi. Makale Amplitude'u reklamcı değil, ürün analizi ve olay izleme platformu olarak tanımlıyor. Honda sözcüsü Northeastern'e, verinin sözleşme gereği bağımsız kullanıma ya da satışa hiç açık olmadığını söyledi. General Motors ise veriyi yalnız hizmetlerini sunmasına yardım eden hizmet sağlayıcılar ve üçüncü taraflarla, sıkı sözleşme sınırları içinde paylaştığını; bu şirketlerin veriyi kendi amaçları için satamadığını, paylaşamadığını ve kullanamadığını bildirdi.

Araştırmacıların Mayıs 2025'te incelediği, kişisel veri gönderen yedi uygulamanın gizlilik politikalarının hepsi üçüncü taraflarla paylaşım yapılabileceğini yazıyordu, ama hangi şirketle ve hangi amaçla olduğunu belirtmiyordu. GM, Lincoln ve Nissan, şasi numarasını üçüncü taraflarla paylaştıklarını politikalarında yazıyordu. Araç verisinin neden değerli olduğunu mayıs ayındaki rehberimizde, aracı satarken hangi verinin geride kaldığını eylül ayındaki haberimizde ele almıştık.

Sonuçlar ne kadar genellenebilir?

Çalışma yalnız ABD pazarındaki araçları ve ABD uygulama sürümlerini kapsıyor; ölçüm Ağustos 2025'te bitti. Araştırmacılar sonuçların o döneme ait bir anlık görüntü olduğunu ve örneklem dışındaki ya da ABD dışındaki araçlara genellenemeyebileceğini açıkça yazıyor. Makale, 12-16 Ekim 2026'da Almanya'nın Karlsruhe kentindeki ACM İnternet Ölçüm Konferansı'nda (IMC '26) sunulacak.

Sıkça Sorulan Sorular

Araç üreticileri bu verileri satıyor mu? Çalışma bunu ölçmüyor; ölçülen şey verinin hangi şirketlere gönderildiği. Honda ve General Motors, alıcı şirketlerin veriyi sözleşme gereği kendi amaçları için kullanamadığını söylüyor.

Hangi uygulamalar kişisel veri gönderdi? ABD'de test edilen 30 uygulamadan yedisi: myChevrolet, myCadillac, myBuick, myGMC, Lincoln, MyNISSAN ve HondaLink.

Honda ne değiştirdi? Bulgulardan sonra Amplitude'un aldığı konum verilerini silmesini istedi ve HondaLink uygulamasını Amplitude'a konum göndermeyecek şekilde güncelledi.

Toyota, Hyundai veya Fiat uygulamaları listede var mı? Hayır. Bu uygulamaların ABD sürümlerinde aranan kişisel verinin üçüncü şirketlere gittiği görülmedi; ancak reklam ve izleme alan adlarıyla bağlantı kurdukları ölçüldü.

Ölçüm ne zaman yapıldı? Ekim 2024 ile Ağustos 2025 arasında, ABD'de. Sonuçlar 29 Eylül 2026'da duyuruldu.

Görseller: Mavila2 / Wikimedia Commons (CC BY-SA 4.0).