Due milioni di guidatori viaggiano in auto che possono essere sbloccate con uno smartphone.
Non è la trama di un film. È reale. Il colpevole è una piccola scatola chiamata Sistema di sicurezza KARR. Si collega al computer della tua auto. Doveva fermare i furti. Adesso lo invita.
Gli esperti di sicurezza informatica definiscono questa una delle peggiori vulnerabilità Bluetooth nelle auto viste negli ultimi anni. Perché? Perché il dispositivo è ancora in funzione. Anche se non l’hai mai pagato. Anche se non sai che è lì.
Su quali auto è installato il dispositivo KARR?
Il sistema KARR è iniziato come strumento di concessionaria. Molti volevano tenere traccia dell’inventario. Volevano impedire che le auto sparissero dal parcheggio. Quindi hanno installato il dispositivo. Si collega alle principali funzioni di sicurezza del veicolo. Comunica con un’app tramite Bluetooth.
Quando l’auto fu venduta, i concessionari tentarono di vendere l’accesso. Alcune persone l’hanno comprato. La maggior parte no.
Ma l’hardware è rimasto.
Se hai acquistato una Honda, una Toyota, una Mazda, una Ford o una Jeep negli ultimi nove anni, potresti essere a rischio. Le auto si sono spostate. Alcuni sono in Canada. Alcuni in Giappone. Se hai acquistato usato, probabilmente non hai ricevuto il promemoria.
Cerca un indizio. Un adesivo “KARR” sul finestrino. O uno che dice SWDS (Southwest Dealer Services). Controlla sotto il cruscotto. Un piccolo pulsante lampeggiante? Questo è il dispositivo.
Non strapparlo. È collegato a sistemi importanti. Sbagliare rompe le cose.
Come funziona effettivamente l’hacking Bluetooth KARR
Il difetto è stupido. Semplice. Ogni singolo dispositivo KARR utilizza la stessa chiave di autenticazione.
Immagina una password di “1234”.
Se hackeri un dispositivo, avrai la chiave di tutti.
Lo hanno dimostrato i ricercatori dell’Università della California, San Diego (UCSD). Hanno creato un’app personalizzata. Hanno eseguito il ping del dispositivo tramite Bluetooth. Non è necessario alcun accesso fisico. Solo senza fili.
Con pochi tocchi, potrebbero:
– Sblocca le porte.
– Suona il clacson.
– Fari lampeggianti.
– Impedire l’avviamento del motore (se era spento).
Sembra innocuo. Le luci lampeggianti sono fastidiose. Non pericoloso.
È.
L’hacking non avvia il motore. Un ladro non può semplicemente scappare usando il telefono. Ma non è necessario.
Entrano. In silenzio. Nessuna finestra rotta. Nessuna porta indiscreta. Si siedono dentro. Quindi utilizzano strumenti di “clonazione delle chiavi del fabbro”. Questi sono economici. Disponibile on-line. Estraggono la chiave digitale dell’auto dal computer. Poi se ne vanno.
Stefan Savage, professore all’UCSD, ha detto a Wired che questa è la peggiore minaccia di hacking automobilistico che abbia mai visto. Sa di cosa sta parlando.
Jerry Yu, un ricercatore del progetto, ha detto che i ladri potrebbero semplicemente connettersi da remoto.
“Invece di rompere un finestrino per ottenere l’accesso, si connettono semplicemente tramite Bluetooth… e fanno sbloccare le portiere dell’auto.”
Perché non ho ricevuto un aggiornamento software?
Questa è la parte frustrante.
L’UCSD ha informato Acrisure Protection Group del buco nel gennaio 2025. La correzione è stata pubblicata il 20 luglio 26.
È molto tempo.
Acrisure possiede il marchio KARR. Dicono che il rischio è “basso” nelle condizioni del mondo reale. Affermano che nessuno ha ancora rubato un’auto in questo modo. Chiamano l’hacking “complesso”.
Abbastanza complesso da richiedere un’app personalizzata. Non abbastanza complesso da lasciare esposti due milioni di automobili per mesi.
Gli utenti attivi hanno ricevuto un avviso. Hanno effettuato l’accesso. Hanno aggiornato.
Il riposo? Devi cercarlo.
Scarica l’applicazione KARR. Inserisci le ultime otto cifre del tuo VIN. Anche se non hai mai utilizzato il servizio. L’aggiornamento funziona. È necessario installarlo.
Vale la pena controllare la tua auto?
Forse.
Forse no.
Le auto moderne sono computer. Lo sapevamo. Sono “smartphone su ruote”. Ciò porta vantaggi. Gli aggiornamenti via etere risolvono i richiami in poche ore. Nessun viaggio al negozio. Gli abbonamenti sbloccano i posti riscaldati. Potenza extra. È conveniente.
È anche rischioso.
Ogni connessione è una porta. Ogni aggiornamento è una patch per un buco trovato da qualcun altro. Trattiamo i nostri laptop in questo modo. Trattiamo i nostri telefoni in questo modo. Dimentichiamo la macchina.
L’hack KARR mostra cosa succede quando dimentichiamo. Un dispositivo pensato per la sicurezza diventa una backdoor. Una chiave condivisa diventa una chiave principale.
Due milioni di automobilisti. Un aggiornamento.
La maggior parte di loro non saprà di averne bisogno finché non sarà troppo tardi. O finché non si rompe una finestra. Oppure un clacson suona alle 2 di notte senza motivo.
Hai l’app. Hai il VIN.
Vuoi davvero scoprire se sei vulnerabile?
O continuerai a guidare?
