De Volkswagen Group verzamelt systematisch locatiedata van honderdduizenden elektrische Volkswagens, Audi's, Skoda's en Seats, bewaart deze informatie voor langere tijd en heeft deze gegevens ook gelekt, zo stelt de Chaos Computer Club (CCC) op basis van eigen onderzoek dat gisteren tijdens het Chaos Communication Congress in Hamburg werd gepresenteerd. De Duitse Chaos Computer Club is één van de oudste hackerclubs die nog actief is en houdt zich onder andere bezig met beveiligingsonderzoek.

Tijdens beveiligingsonderzoek ontdekten CCC-onderzoekers een publiek toegankelijke memorydump van een interne applicatie van Cariad, een dochteronderneming van Volkswagen Group dat software ontwikkelt. De dump bevatte inloggegevens voor Amazon's cloudopslag. Daar werd 9,5 terabyte aan data aangetroffen, afkomstig van zo'n 800.000 auto's. Het ging onder andere om informatie over eigenaren en locatiegegevens, zoals tijd en plek waar de auto was geparkeerd. De gegevens werden verzameld via de Volkswagen-app, waarmee het mogelijk is om de auto vooraf op te warmen of het rijbereik van de auto te bekijken.

De onderzoekers informeerden Cariad, Volkswagen Group en privacytoezichthouders. De toegankelijke data kwam ook in handen van Der Spiegel dat verder onderzoek deed en ontdekt dat bijvoorbeeld gevoelige data over inlichtingen en militaire activiteiten werd verzameld. Cariad laat in een reactie tegenover de Duitse krant weten dat het alleen 'gepseudonimiseerde data' verzamelt om het laadgedrag van klanten in kaart te brengen en dat de gegevens niet gecombineerd worden om conclusies over individuen te trekken of bewegingsprofielen te maken.

Onderzoek naar het incident nog gaande, maar volgens Cariad is er sprake van een misconfiguratie en heeft voor zover bekend niemand anders dan de CCC toegang tot de data gehad. "Het probleem is dat deze gegevens in de eerste plaats worden verzameld en voor zo'n lange periode. Het feit dat het slecht was beveiligd is de kers op de taart", aldus CCC-woordvoerder Linus Neumann.