米ノースイースタン大学の研究者らによる論文「Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem」が、国際会議「IMC ’26」で採択された。研究チームは、自動車21車種と、車両と連携するスマートフォンアプリ30種類を対象に、コネクテッドカー ecosystemにおける実際のデータ送信を調査した。
事案の詳細
研究チームが車両の通信を調べた結果、テストした21台のうち19台が、広告、データ分析、地図・ナビゲーション、音楽配信、CDN、クラウドなどを提供する第三者企業へ何らかのデータを送信していた。
送信先として確認された企業は、Googleが13台、Amazonが12台、Spotifyが8台、Microsoftが6台、Metaが3台だった。記事で確認できる範囲では、これらは各企業への送信が確認された車両台数であり、送信されたデータの総量を示す数値ではない。
車両と連携する自動車メーカー提供のスマートフォンアプリ30種類についても分析が行われた。その結果、7つのアプリが、車両識別番号（VIN）、メールアドレス、電話番号、位置情報のいずれかに該当する機密データを第三者企業へ送信していた。
この調査は、車両本体だけでなく、車両と連携するアプリを含む複数のレイヤーでデータの流れを確認したものだ。具体的な送信データの内容や送信量、各車種・アプリごとの詳細については、記事で確認できる範囲を超える情報は現時点で不明だ。
影響と背景
コネクテッドカーは、ナビゲーション、クラウド連携、音楽配信などの利便性を提供する一方、車両や関連アプリから第三者企業へデータが送信される場合がある。今回の調査では、21台中19台で第三者企業へのデータ送信が確認され、車両利用と広告・分析・クラウドなどのデジタルサービスが広く接続されている実態が示された。
また、アプリ30種類のうち7つが、VIN、メールアドレス、電話番号、位置情報のいずれかを第三者企業へ送信していた。送信が各企業のどの目的で利用されたか、また利用者が個別に送信を停止できるかについては、詳細は現時点で不明だ。
対策・今後の展望
- 利用者の視点：車両本体だけでなく、連携するスマートフォンアプリのプライバシー設定、位置情報などの権限、利用規約、第三者提供に関する説明を確認する。
- 事業者の視点：業務車両で連携アプリを導入する場合、VIN、連絡先情報、位置情報など、業務上必要なデータの範囲と第三者提供の有無を整理し、社内ルールとして明文化する。
- 今後の焦点：車種・アプリごとの送信先、送信データ、利用目的、送信停止の可否を利用者が比較できる形で開示することが求められる。
CSRIからの現場アドバイス
【現場で何が起きているか】業務用スマートフォンに車両管理・運行系アプリを導入する場合、アプリの通信先や取得データを把握しないまま運用が始まる可能性がある。個別の企業やアプリについて、実際にどの通信が行われているかは環境によって異なるため、詳細は現時点で不明だ。
【平易な解説】車両とアプリは、ナビゲーションやクラウド連携などの機能を提供するため、複数の外部サービスと通信することがある。通信先や送信データを確認しなければ、どの情報がどこへ送られるのかを把握しにくい。
【今週中にできること】まず社用端末に入っている車両関連アプリを一覧化し、位置情報などの権限とプライバシー設定を確認する。次に、業務上不要な権限や連携を見直し、変更内容を社内で共有する。最後に、導入目的、取得データ、第三者提供の有無、必要な見直し時期を1枚にまとめ、次回更新時に確認する運用を定める。