Dos millones de conductores viajan en coches que se pueden desbloquear con un smartphone.
No es un argumento de película. Es real. El culpable es una pequeña caja llamada Sistema de Seguridad KARR. Se conecta a la computadora de su automóvil. Estaba destinado a detener el robo. Ahora lo invita.
Los expertos en ciberseguridad consideran que esta es una de las peores vulnerabilidades de Bluetooth en automóviles vistas en años. ¿Por qué? Porque el dispositivo todavía está funcionando. Incluso si nunca pagaste por ello. Incluso si no sabes que está ahí.
¿Qué coches tienen instalado el dispositivo KARR?
El sistema KARR comenzó como una herramienta para los concesionarios. Muchos querían realizar un seguimiento del inventario. Querían evitar que los coches desaparecieran del aparcamiento. Entonces instalaron el dispositivo. Se conecta a las funciones clave de seguridad del vehículo. Habla con una aplicación a través de Bluetooth.
Cuando se vendió el coche, los concesionarios intentaron vender el acceso. Algunas personas lo compraron. La mayoría no lo hizo.
Pero el hardware permaneció.
Si compró un Honda, Toyota, Mazda, Ford o Jeep en los últimos nueve años, podría estar en riesgo. Los coches se han movido. Algunos están en Canadá. Algunos en Japón. Si compró usado, probablemente no recibió la nota.
Busque una pista. Una pegatina “KARR” en la ventana. O uno que diga SWDS (Servicios de concesionarios de Southwest). Mira debajo del tablero. ¿Un pequeño botón parpadeante? Ese es el dispositivo.
No lo arranques. Está conectado a sistemas importantes. Tirarlo mal rompe cosas.
Cómo funciona realmente el truco Bluetooth de KARR
El defecto es estúpido. Simple. Cada dispositivo KARR utiliza la misma clave de autenticación.
Imagine una contraseña de “1234”.
Si pirateas un dispositivo, tienes la clave de todos ellos.
Investigadores de la Universidad de California, San Diego (UCSD) lo demostraron. Crearon una aplicación personalizada. Hicieron ping al dispositivo a través de Bluetooth. No se necesita acceso físico. Sólo inalámbrico.
Con unos pocos toques, podrían:
– Desbloquear puertas.
– Toca la bocina.
– Destello de faros.
– Impedir que el motor arranque (si estaba apagado).
Suena inofensivo. Las luces intermitentes son molestas. No peligroso.
Es.
El truco no arranca el motor. Un ladrón no puede irse simplemente usando su teléfono. Pero no es necesario.
Entran. En silencio. Ninguna ventana rota. Sin puertas curiosas. Se sientan dentro. Luego utilizan herramientas de “clonación de llaves de cerrajería”. Estos son baratos. Disponible en línea. Extraen la llave digital del coche del ordenador. Luego se marchan.
Stefan Savage, profesor de UCSD, dijo a Wired que esta es la peor amenaza de piratería de automóviles que haya visto. Él sabe de lo que está hablando.
Jerry Yu, investigador del proyecto, dijo que los ladrones podrían conectarse de forma remota.
“En lugar de romper una ventana para acceder, simplemente se conectan mediante Bluetooth… y hacen que se abran las puertas del auto”.
¿Por qué no he recibido una actualización de software?
Ésta es la parte frustrante.
UCSD le informó a Acrisure Protection Group sobre el agujero en enero de 2025. La solución salió el 20 y 26 de julio.
Eso es mucho tiempo.
Acrisure posee la marca KARR. Dicen que el riesgo es “bajo” en las condiciones del mundo real. Afirman que nadie ha robado un coche de esta manera todavía. Llaman al truco “complejo”.
Lo suficientemente complejo como para requerir una aplicación personalizada. No es lo suficientemente complejo como para dejar dos millones de coches expuestos durante meses.
Los usuarios activos recibieron una alerta. Iniciaron sesión. Actualizaron.
¿El resto? Tienes que buscarlo.
Descarga la aplicación KARR. Ingrese los últimos ocho dígitos de su VIN. Incluso si nunca usaste el servicio. La actualización funciona. Necesitas instalarlo.
¿Vale la pena revisar tu coche?
Tal vez.
Quizás no.
Los coches modernos son computadoras. Lo sabíamos. Son “teléfonos inteligentes sobre ruedas”. Eso trae beneficios. Las actualizaciones inalámbricas solucionan los retiros en horas. No hay que ir a la tienda. Las suscripciones desbloquean asientos con calefacción. Caballos de fuerza adicionales. Es conveniente.
También es arriesgado.
Cada conexión es una puerta. Cada actualización es un parche para un agujero que alguien más encontró. Tratamos nuestras computadoras portátiles de esta manera. Tratamos nuestros teléfonos de esta manera. Nos olvidamos del coche.
El truco de KARR muestra lo que sucede cuando lo olvidamos. Un dispositivo destinado a la seguridad se convierte en una puerta trasera. Una clave compartida se convierte en una clave maestra.
Dos millones de conductores. Una actualización.
La mayoría de ellos no sabrán que lo necesitan hasta que sea demasiado tarde. O hasta que se rompa una ventana. O suena una bocina a las 2 de la madrugada sin motivo alguno.
Tienes la aplicación. Tienes el VIN.
¿Realmente quieres saber si eres vulnerable?
¿O simplemente vas a seguir conduciendo?
