Verschillende modellen van de Volkswagen Groep zoals de ID-modellen van Volkswagen maar ook die van zustermerken Audi, Seat en Skoda kampen met een datalek waaruit onder meer de locatie van elke auto te traceren is. Ethische hackers hebben dit ontdekt en wereldkundig gemaakt.

Het betreft hier auto’s die permanent aan internet gekoppeld zijn, iets wat sinds de verplichte e-call gemeengoed is in de markt. Zodra de gebruiker zich met een account aanmeldt en bijvoorbeeld via de app op een telefoon met de auto communiceert is de beschikbare data beduidend groter dan wanneer dit niet zo is.

Van 15 miljoen auto’s is het VIN bekend, maar ook het specifieke model en bouwjaar, het land en de gebruikersnaam. (VW Groep produceert jaarlijks net zo veel auto’s als er in totaal van alle merken en bouwjaren in ons land rondrijden.) In 600.000 gevallen is naast die gebruikersnaam ook andere data beschikbaar zoals naam en e-mailadres, het woonadres, een gedeelte van de geboortedatum en het mobiele nummer. In totaal zou 9,5 terrabyte aan statusmeldingen beschikbaar zijn. Voor de beeldvorming: een beetje externe harde schijf voor een computer is tegenwoordig rond de 1 tot 4 terrabyte: dit zijn dus erg veel data.

Gebruiker en auto

De beschikbare data is op te delen in drie specifieke groepen. Allereerst over de ‘gebruiker’ zelf: naam, e-mail en telefoon (gedeeltelijk). In de tweede categorie zit de data over het voertuig, zoals het chassisnummer (VIN dus), het model en bouwjaar maar ook de gebruikersnaam waaronder de gebruiker toegang heeft. In de derde zuil zit de EV-specifieke data zoals de kilometerstand en de temperatuur van het accupakket. De status daarvan is eveneens zichtbaar, inclusief de laadstatus.

Ook andere waarschuwingssignalen zijn beschikbaar. Als voorbeeld wordt het signaal gegeven waaruit spanningsverlies blijkt in een van de banden. Die komt linksvoor minst vaak voor, rechtsachter het vaakst. In 45 (!) gevallen is een signaal afgegeven van een te hoge temperatuur in het hoogvoltage-batterijpakket met de oproep de hulpdiensten in te schakelen. Die 45 gevallen betreft overigens maar veertien specifieke auto’s.

Locatiegegevens

Ook locatiegegevens zijn beschikbaar, van ruim 800.000 voertuigen om precies te zijn. In meer dan de helft van de gevallen tot op 10 centimeter nauwkeurig (VW ID/Seat), de rest binnen een straal van 10 kilometer (Audi/Skoda). Om de effecten hiervan te onderstrepen is een plattegrond van de VW-fabriek in Wolfsburg voorzien van elke auto die in het bestand voorkomt en daar een locatiemelding afgaf. De kaart kleurt bloedrood, en dat geldt ook voor de binnensteden van Wolfsburg en Hannover, of van Hamburg, Berlijn, Keulen en München.

Omdat locatie en tijd bekend zijn, is veel te zeggen over gedragspatronen van de gebruikers, zoals woon- en werkadres, maar ook het vaste adres voor de boodschappen. Of de kinderopvang of de school, de kerk, moskee of synagoge is zo te herleiden. Zelfs de geheime testfaciliteiten van VW volgens de hackers.