Uma falha crítica de segurança expôs dados sensíveis de aproximadamente 800 mil veículos elétricos de marcas como Volkswagen, Audi, Seat e Skoda, gerando uma onda de preocupações entre especialistas, políticos e consumidores.

O problema, identificado em um serviço de armazenamento na nuvem operado pela subsidiária Cariad, permitiu que informações como localizações GPS precisas, rotinas de uso e dados pessoais de motoristas fossem acessadas por meses sem proteção adequada.

Segundo o jornal alemão que divulgou o vazamento, Spiegel, entre os afetados está Nadja Weippert, uma política alemã e proprietária de um VW ID.3.

Após baixar o aplicativo oficial do veículo, que permite funcionalidades como pré-aquecimento e monitoramento do nível de bateria, ela descobriu que o carro coletava e transmitia dados detalhados sobre onde era estacionado e por quanto tempo permanecia parado.

Como porta-voz de proteção de dados do Partido Verde, Weippert ficou horrorizada ao perceber que informações sobre sua rotina estavam vulneráveis, incluindo visitas ao parlamento estadual, idas ao clube esportivo e paradas em sua padaria favorita.

Outro caso de destaque foi o de Markus Grübel, membro do Bundestag pelo partido CDU, que viu dados sobre viagens pessoais e profissionais vazarem. Isso incluía paradas frequentes em uma casa de repouso onde seu pai reside e visitas a um quartel, dado seu papel no Comitê de Defesa.

Para Grübel, o incidente é “embaraçoso” e representa um golpe na confiança pública na indústria automotiva alemã, que já enfrenta desafios em inovação tecnológica e segurança digital.

O vazamento foi revelado pelo Chaos Computer Club (CCC), uma renomada organização de hackers éticos. Após investigar a falha, o CCC descobriu que os dados estavam desprotegidos em um servidor da Amazon e poderiam ser acessados com ferramentas básicas de TI.

A vulnerabilidade foi descrita como uma “chave deixada embaixo de um capacho pequeno demais”. O CCC alertou a Cariad, que fechou o acesso pouco tempo depois, mas o estrago já estava feito.

A organização conseguiu reproduzir a falha e acessar informações críticas sem esforço significativo. As localizações armazenadas eram tão precisas que permitiam identificar rotinas diárias, como horários de trabalho e visitas a locais específicos, desde prédios governamentais até clínicas médicas.

Além disso, as informações estavam associadas a dados pessoais, como e-mails e, em alguns casos, números de telefone.

O impacto de um vazamento dessa magnitude vai muito além de questões de privacidade. A exposição de dados detalhados de localização pode ter implicações para segurança nacional e individual.

Movimentações em locais sensíveis, como bases militares e sedes de inteligência, poderiam ser monitoradas por agentes mal-intencionados.

Espiões ou criminosos poderiam usar essas informações para rastrear alvos de interesse, enquanto fraudadores teriam material suficiente para criar golpes elaborados.

Até mesmo situações pessoais poderiam ser exploradas. Stalkers ou parceiros ciumentos poderiam monitorar os movimentos de alguém, e chantagistas poderiam explorar dados comprometedores, como visitas a locais controversos.

Para Weippert, que já sofreu ameaças devido à sua atuação política, a vulnerabilidade representa um risco inaceitável. Ela exigiu que a Volkswagen limite a coleta de dados e adote medidas para garantir a anonimização das informações.

A Volkswagen afirmou que os dados são coletados para melhorar o desempenho de baterias e softwares, mas garantiu que nunca foram intencionalmente vinculados a indivíduos.

No entanto, investigações do CCC e da mídia revelaram que as práticas de coleta de dados vão muito além do necessário.

A análise mostrou que, no caso de modelos como VW ID.3 e ID.4, as informações incluíam não apenas horários e localizações, mas também detalhes como hábitos de carregamento e comportamento de direção.

Essa prática não é exclusiva da Volkswagen. Segundo um estudo da Fundação Mozilla, que analisou 25 marcas de automóveis, todas coletam mais dados do que o necessário.

Além disso, 76% das marcas admitem revender as informações coletadas, enquanto 68% já enfrentaram falhas de segurança nos últimos três anos. O relatório concluiu que “os carros modernos são um pesadelo para a privacidade.”

A questão do uso e controle dos dados automotivos está ganhando atenção crescente em todo o mundo. A União Europeia está liderando esforços para regulamentar a coleta e o compartilhamento dessas informações.

A partir de setembro de 2025, a nova lei de dados da UE exigirá que fabricantes ofereçam aos proprietários acesso fácil e gratuito aos dados gerados por seus veículos, promovendo maior transparência e controle.

Embora a Volkswagen tenha rapidamente corrigido a falha apontada pelo CCC, o incidente destaca desafios maiores enfrentados pela indústria automotiva. Casos semelhantes já ocorreram em outras marcas.

Em 2015, o hack de um Jeep demonstrou como sistemas automotivos podem ser vulneráveis, permitindo que hackers controlassem remotamente funções como freios e aceleração.