Kobitek.com web sitesi, analitik ve kişiselleştirme dahil olmak üzere site işlevselliğini sağlamak ve reklam gösterimini optimize etmek için çerezler gibi verileri depolar.
Bir işyerinin önündeki otoparkı düşünün. İnsanlar geliyor, araçlarından iniyor, birbirleriyle buluşuyor ve binaya giriyor. Park edilmiş otomobillerden birinin kameraları etkinse, bu hareketlerin bir bölümü görüntülere girebilir. Otomobilin içinde kimsenin bulunmaması, çevresini gözlemlemediği anlamına gelmez.
Bağlantılı otomobillerin yarattığı mahremiyet sorunu tam da burada genişliyor: Araç, hem kendi kullanıcısı hem de çevresindeki insanlar hakkında bilgi üretebiliyor. Bu bilgilerin kimde kaldığı, kimlere açıldığı ve hangi amaçlarla kullanıldığı ise donanıma, yazılıma, verilen izinlere ve hizmet sağlayıcılara bağlı.
Bu yazıda belgelenmiş güvenlik açıklarını, şirketlerin açıkladığı veri uygulamalarını ve bunlardan hareketle değerlendirilebilecek kötüye kullanım ihtimallerini birbirinden ayırıyoruz. Bir işlevin gözetim için kullanılabilmesi, o işlevi sunan üreticinin casusluk yaptığının kanıtı değildir.
Konum ve zaman kayıtları, sürüş davranışları, navigasyon tercihleri, kamera görüntüleri ve bağlı cihazlardan gelen bilgiler bir araya geldiğinde günlük hayatın ayrıntılı bir tablosu oluşabilir. Avrupa Veri Koruma Kurulunun bağlantılı araçlar rehberi de verilerin araç içinde işlenmesiyle dış taraflara aktarılmasını ayrı ayrı ele alıyor. Bu ayrım önemli: Verinin üretilmesi, saklanması ve paylaşılması aynı işlem değil. [1]
Örneğin, bir aracın geceleri düzenli olarak bulunduğu yer ev adresini, hafta içi uzun süre kaldığı yer işyerini düşündürebilir. Tekrarlanan ziyaretler ilişkiler ve alışkanlıklar hakkında ipuçları verebilir. Bunlar kayıtlardan yapılabilecek çıkarımlardır; aracın bir adreste görünmesi, onu kimin kullandığını veya oraya neden gittiğini tek başına kanıtlamaz.
GPS konusunda sık rastlanan bir karışıklığı gidermek gerekiyor. GPS uyduları sinyal yayınlar; araçtaki alıcı bu sinyallerden kendi konumunu hesaplar. Temel GPS işleyişinde alıcı, konumunu uyduya geri göndermez. Takip riski, bu konumun başka bir yazılım tarafından kaydedilmesi veya bir hizmete aktarılmasıyla ortaya çıkar. [2]
Dolayısıyla GPS bulunan her cihaz uzaktan izleniyor değildir. Buna karşılık internet bağlantısı olmayan bir cihaz da hareket geçmişini belleğinde tutabilir; kayıtlar sonradan alınabilir. İnternet, anlık uzaktan takip için bir iletişim yolu sağlar, geçmişin kaydedilmesi için şart değildir.
Park halindeki konum da bilgi taşır. Bir yerde ne kadar kalındığı ve aynı adrese hangi aralıklarla dönüldüğü, bazen yolculuğun kendisinden daha açıklayıcı olabilir.
Sam Curry ve Shubham Shah'ın Ocak 2025'te yayımladığı Subaru araştırması, araç hizmetlerinin ne kadar ayrıntılı kayıt tutabildiğini gösterdi. Araştırmacılar, STARLINK yönetim panelindeki bir açık üzerinden etkilenen sistemde müşteri bilgilerine ve yaklaşık bir yıllık araç konum geçmişine erişilebildiğini bildirdi. Zaman çizelgelerine göre Kasım 2024'te bildirilen açık ertesi gün giderildi. [3]
2024'te yayımlanan Kia araştırmasında da bağlantılı hizmet altyapısındaki açıkların araç konumuna, sahibinin kişisel bilgilerine ve bazı uzaktan komutlara erişim sağlayabildiği gösterildi. Bu açıklar da giderildi. İki vaka, sorunun otomobilin içindeki elektronik parçalarla sınırlı olmadığını anlatıyor: Mobil uygulamalar, bayi portalları ve üreticinin sunucuları da güvenli olmak zorunda. [4]
Üstelik mahremiyetin zedelenmesi için her zaman bir saldırgan gerekmiyor. ABD Federal Ticaret Komisyonu, Ocak 2026'da GM ve OnStar hakkında uzlaşma kararını kesinleştirdi. FTC'nin iddiası, hassas konum ve sürüş davranışı verilerinin yeterli bilgilendirme ve açık onay olmadan toplanıp kullanıldığı ve satıldığı yönündeydi. Karar, bu verilerin tüketici raporlama kuruluşlarına aktarılmasına beş yıllık yasak ve veri kontrolüne ilişkin yükümlülükler getiriyor. [5]
Tesla Model 3 kılavuzuna göre Sentry Mode etkinleştirildiğinde araç kilitli ve park halindeyken kamera ve sensörler çalışmaya hazır kalabiliyor; belirli olayların görüntüleri uygun USB belleğe kaydedilebiliyor. Gerekli koşullarda araç çevresi mobil uygulamadan canlı izlenebiliyor. BMW de belirli donanımlarda Remote 3D View ile aracın yakın çevresinin görüntüsüne telefondan erişilebildiğini açıklıyor. [6] [7]
Aracı korumaya yönelik bu özelliklerin görüntü alanına komşu araçlar, yayalar veya bina girişleri de girebilir. Böylece güvenlik amacıyla elde edilen görüntüler, amacı dışında kullanılırsa kimlerin hangi saatlerde geldiğini, kimin kiminle buluştuğunu veya bir işletmenin teslimat düzenini anlamaya yardımcı olabilir. Bu, olası bir kötüye kullanım senaryosudur; belirli bir yerde böyle bir izleme yapıldığını söylemek için somut kanıt gerekir.
Her kamera da kesintisiz kayıt yapmaz. Olayla tetiklenen kayıt, talep üzerine fotoğraf ve canlı görüntüleme farklı işlevlerdir. Görüş açısı, ışık, enerji ve bağlantı koşulları kapasiteyi sınırlar. Tesla'nın anılan kılavuzu ayrıca canlı görüntülemede ses alınmadığını, kullanım sırasında ışıklı ve ekran üzerinden bildirimler verildiğini belirtiyor. Park edilmiş bir otomobili sınırsız ve fark edilmez bir gözetim sistemi olarak düşünmek yanıltıcı olur.
Görüntülerin üreticinin sunucusuna gönderilmemesi de bütün riskleri ortadan kaldırmaz. Araç sahibi veya kayda erişebilen başka biri görüntüleri kullanabilir. Bu nedenle “Üretici görüyor mu?” kadar “Kayda başka kim erişebiliyor?” sorusu da önemlidir.
Bir aramada kişiyi adıyla seçmek, gelen mesajı dinlemek veya takvimdeki toplantıya yol tarifi almak kullanışlıdır. Ancak bu kolaylıkların arkasında telefondaki bazı bilgilere erişim bulunur. Bluetooth'un rehber erişim profili, araç sisteminin telefondan rehber bilgilerini alabilmesi için tasarlanmıştır. CarPlay gibi sistemler de arama, mesajlaşma ve navigasyon işlevlerini araç ekranına taşır. [8] [9]
Burada Bluetooth eşleştirmesi, CarPlay veya Android Auto kullanımı ve otomobile doğrudan kurulan uygulamalar aynı şey değildir. Bir bilginin ekranda görünmesi, bütün telefon içeriğinin otomobile kopyalandığını göstermez. Hangi veriye erişildiği, neyin saklandığı ve dışarıya ne gönderildiği ilgili bağlantı ve hizmet özelinde incelenmelidir.
İzin verilmiş olması da paylaşımın kapsamını kendiliğinden açıklamaz. Rehbere erişim izni ile rehberin başka amaçlarla kullanılmasına verilen onay aynı kabul edilemez. Google'ın otomobile yerleşik hizmetler açıklaması, kullanıcı paylaşmayı seçtiğinde konum, rota ve bağlı uygulama bilgilerinin kullanılabildiğini; üçüncü taraf uygulamalarla etkileşimde isteğin bazı bölümlerinin ilgili uygulamayla paylaşılabildiğini belirtiyor. [10]
Bir de geride kalan kayıtlar var. FTC, kiralık araçlarda rehberin, arama ve mesaj kayıtlarının veya girilen adreslerin araç iade edildikten sonra kalabileceği konusunda uyarıyor. Dolayısıyla telefonu yanımıza almak, bıraktığımız dijital izleri de aldığımız anlamına gelmiyor. [11]
Fabrika çıkışında bağlantılı hizmeti olmayan bir otomobil bile sonradan takılan cihazlarla kayıt ve aktarım yapabilir. Dashcam bunun en anlaşılır örneği. Modele göre görüntüye ses, konum ve zaman bilgileri eklenebilir; park sırasında kayıt veya çevrimiçi depolama bulunabilir.
Örneğin Garmin X210 kılavuzu, dahili mikrofonla ses kaydını ve olay görüntülerinin zaman, tarih ve konumla işaretlenmesini açıklıyor. Vault hizmetinde ise uygun abonelik ve Wi-Fi bağlantısıyla kaydedilmiş videolar otomatik olarak çevrimiçi depolamaya yüklenebiliyor. Yani ön camdaki kamera, yalnızca yerel bir hafıza kartından ibaret olmayabilir. [12]
Harici cihazlarda bağlantının niteliği de önemlidir. Yalnızca güç alan bir kamera ile aracın veri sistemine bağlanan cihaz aynı yetkilere sahip değildir. NHTSA rehberi; telefonları, OBD-II cihazlarını, USB ve kablosuz bağlantıları ayrıca ele alıyor ve üçüncü taraf cihazlara uygun, sınırlı erişim verilmesini öneriyor. [13]
Bu sorunun tek bir sertifikayla veya “güvenli” etiketiyle verilebilecek cevabı yok. Bağımsız incelemeler, sınırlı erişim yetkileri, açıkların giderilmesi ve güncellemelerin doğrulanması birlikte önem taşıyor. UN R155 araç siber güvenliğini ve yönetim sistemlerini, UN R156 ise yazılım güncellemelerini ve güncelleme yönetimini ele alıyor. Bunlar denetim ve risk yönetimi çerçeveleri; hiçbir zaman açık çıkmayacağının garantisi değil. [14]
Ayrıca saldırılara karşı korunmak ile mahremiyeti korumak farklı hedeflerdir. Dışarıdan erişilmesi zor bir sistem, kendi kuralları çerçevesinde yine çok fazla veri toplayabilir. Güncellemenin dijital imzası da yetkili kaynaktan geldiğini doğrulamaya yardımcı olur; içeriğinin kullanıcı açısından uygun olduğunu kanıtlamaz.
Açık kaynak kod, denetim imkânını artırır. Automotive Grade Linux gibi araç yazılım platformları ve openpilot gibi sürüş destek projeleri bunun örnekleridir. Fakat bir bileşenin açık olması bütün otomobilin açık olduğu anlamına gelmez. Üstelik openpilot'un kendi açıklaması, varsayılan olarak sürüş verilerinin sunucularına yüklendiğini ve kullanıcının veri toplamayı kapatabildiğini belirtiyor. Açık kaynak olmak, veri toplamamak demek değildir. [15] [16]
Kodun yayımlanmasının yanında gerçekten incelenmesi ve cihazda çalışan yazılımla örtüşmesinin doğrulanabilmesi gerekir. “Tekrarlanabilir derleme” adı verilen yaklaşım, yayımlanan kaynakla çalıştırılan yazılım arasındaki bağı doğrulamaya yardımcı olur. Bu da güvenin tek bir adıma değil, bir denetim zincirine dayandığını gösterir. [17]
Kullanıcı açısından ilk adım, araçtaki ve bağlı cihazlardaki hizmetleri birlikte gözden geçirmek. Özellikle şu noktalar işe yarar:
Araç içindeki kayıtları silmekle hizmet sağlayıcının sunucularındaki geçmişi silmenin farklı işlemler olabileceği unutulmamalı. Şirket araçlarında ise bu sorulara kayıtları kimlerin görebileceği, ne kadar saklayacağı ve çalışanların nasıl bilgilendirileceği de ekleniyor.
Otomobillerin veri üretmesi, sundukları birçok hizmetin doğal parçası. Ancak bir yolculuğun, telefon bağlantısının veya otoparktaki sıradan bir hareketin ne kadar bilgiye dönüştüğünü bilmek de kullanıcıların ihtiyacı. Artık otomobil alırken yalnızca motoruna, menziline veya kamerasının çözünürlüğüne değil, topladığı bilgilerin kontrolünün kimde olduğuna da bakmak gerekiyor.
Destekçilerimize Teşekkürler
Kozyatağı Mahallesi Sarı Kanarya Sokak
Byofis No: 14 K:7 Kadıköy 34742 İstanbul
Telefon: 0216 906 00 42 | E-Posta: info@ kobitek.com
KOBITEK.COM, bir
TEKNOART Bilişim Hizmetleri Limited Şirketi projesidir.
2001 yılından beri KOBİlere ücretsiz bilgi kaynağı olma hedefi ile, alanında uzman yazarlar tarafından sunulan özgün bir iceriğe sahiptir.
Tüm yazıların telif hakları KOBITEK.COM'a aittir. Alıntı yapılabilir, referans verilebilir, ancak yazarın kişisel bloğu dışında başka yerde yayınlanamaz!!!
