Estudo sobre carros conectados: 28 de 30 apps de carros compartilham dados de motoristas

A maioria dos apps que as montadoras oferecem aos seus clientes envia dados a empresas de publicidade e de análise, segundo um estudo da Northeastern University e da Consumer Reports. Os pesquisadores testaram 30 apps de montadoras, e 28 enviaram dados a pelo menos uma empresa externa de publicidade ou análise. Sete enviaram dados pessoais, como o VIN do carro, o nome do proprietário ou a localização precisa do carro. Isso coloca o carro no mesmo sistema de rastreamento que celulares e sites, com menos formas de o proprietário desligá-lo.

O VIN, ou número de identificação do veículo (vehicle identification number), é o código que identifica um carro específico. Ligado a um nome ou a uma localização, ele pode vincular dados de direção a uma pessoa real.

O que os pesquisadores testaram

A equipe estudou 21 veículos de 19 marcas, de anos-modelo 2022 a 2025, segundo o site do projeto do estudo. Também testou 30 apps complementares, os apps de celular que os proprietários usam para destravar, localizar ou ligar seus carros. O trabalho foi feito de outubro de 2024 a agosto de 2025 no Auto Test Center da Consumer Reports, em Connecticut.

Entre as marcas testadas estavam Tesla, Ford, Toyota, Honda, Nissan, BMW, Mercedes-Benz, Rivian, Lucid, Cadillac, Buick, Lincoln e Land Rover, informa o Auto Connected Car News.

O artigo se chama "Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem" (um estudo empírico da privacidade de dados no ecossistema de veículos conectados). Ele foi revisado por pares. Nove pesquisadores da Northeastern University vão apresentá-lo na ACM Internet Measurement Conference, em Karlsruhe, na Alemanha, de 12 a 16 de outubro de 2026.

O que os carros e os apps enviaram

Os pesquisadores observaram o tráfego de rede que saía de cada carro e de cada app para ver para onde ia. Os principais resultados:

Constatação	Resultado
Apps que enviam dados a uma empresa de publicidade ou análise	28 de 30
Apps que enviam dados pessoais a uma empresa externa	7 de 30
Carros que contatam pelo menos um terceiro via Wi-Fi	19 de 21
Dados pessoais encontrados	VINs, nomes, endereços de e-mail, números de telefone, localizações precisas

Os próprios carros também vazavam dados. Dezenove dos 21 veículos contataram pelo menos um terceiro via Wi-Fi, incluindo domínios conhecidos de publicidade e rastreamento, diz o site do projeto.

Os dados foram para nomes conhecidos. A Consumer Reports lista Amazon, Google, Meta, Microsoft, Pinterest, Snap, Yahoo e Reddit entre os destinatários. O Auto Connected Car News acrescenta Adobe, ContentSquare, LexisNexis Risk Solutions e Verisk Analytics.

A Tesla se destacou. Seus Model 3 e Cybertruck enviaram dados ao maior número de domínios de publicidade e análise, constatou a Consumer Reports.

Como as montadoras responderam

Várias empresas disseram que os dados que compartilham são limitados. General Motors, Honda, Nissan e Stellantis disseram à Consumer Reports que as empresas que os recebem enfrentam restrições sobre como usá-los.

A Honda foi além. Depois que os pesquisadores compartilharam suas conclusões, a empresa pediu ao seu fornecedor de análise, a Amplitude, que apagasse os dados de localização que havia recebido, informa a Consumer Reports.

Como os dados vazam

A maior parte desse tráfego vem de kits de desenvolvimento de software, ou SDKs. São bibliotecas de código prontas que os criadores de apps adicionam para medir o uso, rastrear falhas ou exibir anúncios. Cada kit envia informações de volta à empresa que o criou.

Um desenvolvedor de apps pode adicionar um kit para um único recurso. Mesmo assim, esse kit pode coletar muito mais do que o recurso precisa, incluindo identificadores que levam a uma pessoa.

O que isso significa para desenvolvedores

Audite cada SDK do seu app. Liste cada kit de terceiros, o que ele coleta e para onde envia dados. Remova qualquer kit cuja função não justifique mais o que ele coleta.

Nunca envie identificadores para ferramentas de análise. VINs, nomes, e-mails e localizações precisas não pertencem a um evento de uso. Aplique hash ou descarte esses dados antes que qualquer código de terceiros os veja, e arredonde as localizações para uma cidade ou região.

Teste o seu próprio tráfego. Os pesquisadores encontraram esses vazamentos observando o que saía de cada dispositivo. Faça a mesma verificação no seu app antes de cada versão e compare os destinos com a sua política de privacidade.

Espere mais escrutínio sobre carros conectados. Um estudo revisado por pares, com a Consumer Reports por trás, dá a reguladores e advogados marcas citadas e números. Equipes que criam software para carros, frotas ou seguros devem estar prontas para explicar cada fluxo de dados.

Compradores de frotas também devem fazer perguntas. Empresas que operam frotas de veículos podem perguntar às montadoras quais empresas externas recebem dados do carro e do seu app, e como desligar esse compartilhamento.