Deux millions de conducteurs sont assis dans des voitures déverrouillables avec un smartphone.
Ce n’est pas une intrigue de film. C’est réel. Le coupable est une petite boîte appelée KARR Security System. Il se branche sur l’ordinateur de votre voiture. C’était censé arrêter le vol. Maintenant, il l’invite.
Les experts en cybersécurité considèrent qu’il s’agit de l’une des pires vulnérabilités Bluetooth dans les voitures observées depuis des années. Pourquoi? Parce que l’appareil fonctionne toujours. Même si vous ne l’avez jamais payé. Même si vous ne savez pas que c’est là.
Sur quelles voitures le dispositif KARR est-il installé ?
Le système KARR a commencé comme un outil pour les concessionnaires. Beaucoup voulaient suivre l’inventaire. Ils voulaient empêcher les voitures de disparaître des parkings. Ils ont donc installé l’appareil. Il se connecte aux principales fonctions de sécurité du véhicule. Il communique avec une application via Bluetooth.
Lorsque la voiture s’est vendue, les concessionnaires ont essayé de vendre l’accès. Certaines personnes l’ont acheté. La plupart ne l’ont pas fait.
Mais le matériel est resté.
Si vous avez acheté une Honda, une Toyota, une Mazda, une Ford ou une Jeep au cours des neuf dernières années, vous courez peut-être un risque. Les voitures ont bougé. Certains sont au Canada. Certains au Japon. Si vous avez acheté un véhicule d’occasion, vous n’avez probablement pas reçu le mémo.
Cherchez un indice. Un autocollant « KARR » sur la vitre. Ou celui qui dit SWDS (Southwest Dealer Services). Vérifiez sous le tableau de bord. Un petit bouton clignotant ? C’est l’appareil.
Ne l’arrachez pas. Il est connecté à des systèmes importants. Tirer mal casse les choses.
Comment fonctionne réellement le hack KARR Bluetooth
Le défaut est stupide. Simple. Chaque appareil KARR utilise la même clé d’authentification.
Imaginez un mot de passe de « 1234 ».
Si vous piratez un appareil, vous avez la clé de tous.
Des chercheurs de l’Université de Californie à San Diego (UCSD) l’ont prouvé. Ils ont créé une application personnalisée. Ils ont envoyé une requête ping à l’appareil via Bluetooth. Aucun accès physique nécessaire. Juste sans fil.
En quelques clics, ils pourraient :
– Déverrouillez les portes.
– Klaxonnez.
-Feux clignotants.
– Empêcher le démarrage du moteur (s’il était éteint).
Cela semble inoffensif. Les feux clignotants sont ennuyeux. Pas dangereux.
C’est.
Le hack ne démarre pas le moteur. Un voleur ne peut pas simplement s’enfuir avec son téléphone. Mais ils n’en ont pas besoin.
Ils entrent. Tranquillement. Aucune vitre brisée. Pas de porte indiscrète. Ils s’assoient à l’intérieur. Ensuite, ils utilisent des outils de « clonage de clés de serrurier ». Ce sont bon marché. Disponible en ligne. Ils extraient la clé numérique de la voiture de l’ordinateur. Puis ils repartent.
Stefan Savage, professeur à l’UCSD, a déclaré à Wired qu’il s’agissait de la pire menace de piratage automobile qu’il ait vue. Il sait de quoi il parle.
Jerry Yu, chercheur sur le projet, a déclaré que les voleurs pouvaient simplement se connecter à distance.
“Au lieu de briser une vitre pour y accéder, ils se connectent simplement via Bluetooth… et lui font déverrouiller les portières de la voiture.”
Pourquoi n’ai-je pas reçu de mise à jour logicielle ?
C’est la partie frustrante.
L’UCSD a informé Acrisure Protection Group du trou en janvier 2025. Le correctif a été publié le 20 juillet 26.
Cela fait longtemps.
Acrisure est propriétaire de la marque KARR. Ils disent que le risque est « faible » dans les conditions réelles. Ils affirment que personne n’a encore volé de voiture de cette façon. Ils appellent le hack « complexe ».
Assez complexe pour nécessiter une application personnalisée. Pas assez complexe pour laisser deux millions de voitures exposées pendant des mois.
Les utilisateurs actifs ont reçu une alerte. Ils se sont connectés. Ils ont mis à jour.
Le reste ? Il faut le chercher.
Téléchargez l’application KARR. Entrez les huit derniers chiffres de votre VIN. Même si vous n’avez jamais utilisé le service. La mise à jour fonctionne. Vous devez l’installer.
Cela vaut-il la peine de vérifier votre voiture ?
Peut être.
Peut-être pas.
Les voitures modernes sont des ordinateurs. Nous le savions. Ce sont des « smartphones sur roues ». Cela apporte des avantages. Les mises à jour en direct corrigent les rappels en quelques heures. Pas de déplacement au magasin. Les abonnements débloquent des sièges chauffants. Puissance supplémentaire. C’est pratique.
C’est aussi risqué.
Chaque connexion est une porte. Chaque mise à jour est un correctif pour un trou trouvé par quelqu’un d’autre. Nous traitons nos ordinateurs portables de cette façon. Nous traitons nos téléphones de cette façon. On oublie la voiture.
Le hack KARR montre ce qui se passe lorsque nous oublions. Un dispositif destiné à la sécurité devient une porte dérobée. Une clé partagée devient une clé principale.
Deux millions de conducteurs. Une mise à jour.
La plupart d’entre eux ne sauront qu’ils en ont besoin avant qu’il ne soit trop tard. Ou jusqu’à ce qu’une fenêtre se brise. Ou encore un klaxon klaxonne à 2 heures du matin sans raison.
Vous avez l’application. Vous avez le VIN.
Voulez-vous vraiment savoir si vous êtes vulnérable ?
Ou allez-vous simplement continuer à conduire ?
