Dwa miliony kierowców siedzi w samochodach, które można odblokować za pomocą smartfona.
To nie jest fabuła filmu. To jest rzeczywistość. Winowajcą jest małe urządzenie o nazwie KARR Security System. Łączy się z komputerem samochodu. Początkowo miało to zapobiegać kradzieżom. Teraz ich to prowokuje.
Eksperci ds. cyberbezpieczeństwa nazywają to jedną z najpoważniejszych luk w zabezpieczeniach Bluetooth w samochodach odnotowanych w ostatnich latach. Dlaczego? Ponieważ urządzenie nadal działa. Nawet jeśli nigdy za to nie zapłaciłeś. Nawet jeśli nie wiesz, że w ogóle istnieje.
W jakich samochodach jest zainstalowany system KARR?
System KARR rozpoczął swoją podróż jako narzędzie dla dealerów samochodowych. Wiele osób chciało śledzić dostępność samochodów w magazynie. Chcieli zapobiec znikaniu samochodów z parkingu. Dlatego zainstalowali to urządzenie. Łączy się z funkcjami zabezpieczającymi kluczyk samochodowy. Z aplikacją mobilną komunikuje się poprzez Bluetooth.
Kiedy samochód został sprzedany, dealerzy próbowali sprzedać dostęp do systemu. Ktoś wykupił dostęp. Większość tego nie robi.
Ale sprzęt pozostał na swoim miejscu.
Jeśli w ciągu ostatnich dziewięciu lat kupiłeś Hondę, Toyotę, Mazdę, Forda lub Jeepa, możesz być narażony na ryzyko. Te samochody się poruszały. Niektórzy są w Kanadzie, niektórzy w Japonii. Jeśli kupiłeś samochód z drugiej ręki, najprawdopodobniej nie otrzymałeś odpowiedniego powiadomienia.
Szukaj wskazówek. Na szybie naklejka z napisem “KARR”. Lub ten, który mówi SWDS (Southwest Dealer Services). Zajrzyj pod deskę rozdzielczą. Mały migający przycisk? To jest to urządzenie.
Nie wyciągaj go. Jest podłączony do ważnych systemów. Niewłaściwe usunięcie może spowodować uszkodzenie czegoś ważnego.
Jak dokładnie działa hakowanie KARR przez Bluetooth?
Bezbronność jest absurdem. Prosty. Każde urządzenie KARR wykorzystuje ten sam klucz uwierzytelniający.
Podaj hasło „1234”.
Jeśli zhakujesz jedno urządzenie, będziesz mieć klucz do wszystkich pozostałych.
Udowodnili to naukowcy z Uniwersytetu Kalifornijskiego w San Diego (UCSD). Stworzyli specjalną aplikację. Wysłali żądania do urządzenia przez Bluetooth. Nie był wymagany żaden dostęp fizyczny. Tylko bezprzewodowe.
Za pomocą kilku kliknięć mogliby:
– Odblokuj drzwi.
– Włącz sygnał klaksonu.
– Włącz reflektory.
– Zabronić uruchamiania silnika (jeżeli był wyłączony).
To brzmi nieszkodliwie. Migające reflektory są denerwujące, ale nie niebezpieczne.
Ale to nieprawda.
Hakowanie nie powoduje uruchomienia silnika. Złodziej nie może po prostu wjechać do środka i odjechać, korzystając z telefonu. Ale on tego nie potrzebuje.
Po prostu wchodzi do środka. Cichy. Żadnego stłuczonego szkła. Bez wyważania drzwi. Siedzi w środku. Następnie korzysta z tanich narzędzi do klonowania kluczy („klonowanie kluczy ślusarskich”). Można je kupić online. Pobierają klucz cyfrowy z komputera samochodu. A potem odchodzą.
Stefan Savage, profesor na UCSD, powiedział w Wired, że jest to najgorsze zagrożenie włamaniem do samochodu, jakie kiedykolwiek widział. On wie, o czym mówi.
Jerry Yu, badacz projektu, zauważył, że złodzieje mogą po prostu połączyć się zdalnie.
„Zamiast rozbijać szyby, aby dostać się do środka, po prostu łączą się przez Bluetooth… i zmuszają samochód do odblokowania drzwi”.
Dlaczego nie otrzymałem aktualizacji oprogramowania?
Oto najbardziej irytująca część.
Firma UCSD powiadomiła Acrisure Protection Group o tej luce w styczniu 2025 r. Poprawka została opublikowana 20 lipca 2026 r.
To bardzo długi czas.
Acrisure jest właścicielem marki KARR. Mówią, że ryzyko w rzeczywistych warunkach jest „niskie”. Twierdzą, że nikt nigdy w ten sposób nie ukradł samochodu. Nazywają ten hack „trudnym”.
Tak skomplikowane, że wymagana jest specjalna aplikacja. Ale nie na tyle skomplikowane, aby przez miesiące dwa miliony samochodów były bezbronne.
Aktywni użytkownicy otrzymali powiadomienie. Zalogowali się. Zaktualizowali.
Odpoczynek? Musisz sam znaleźć rozwiązanie.
Pobierz aplikację KARR. Wprowadź osiem ostatnich cyfr numeru VIN. Nawet jeśli nigdy nie korzystałeś z tej usługi. Aktualizacja będzie działać. Musisz go zainstalować.
Czy warto sprawdzać swój samochód?
Może.
Być może nie.
Współczesne samochody to komputery. Wiedzieliśmy o tym. To „smartfony na kółkach”. To przynosi korzyści. Aktualizacje bezprzewodowe rozwiązują problemy związane z bezpieczeństwem w ciągu kilku godzin. Nie ma potrzeby udawania się do serwisu. Subskrypcje odblokowują podgrzewane siedzenia. Dodatkowa moc. Wygodny.
Ale to także ryzyko.
Każde połączenie jest drzwiami. Każda aktualizacja jest łatką na dziurę, którą ktoś znalazł. Tak traktujemy nasze laptopy. Tak traktujemy nasze telefony. Zapominamy o samochodzie.
Hack KARR pokazuje, co się dzieje, gdy zapominamy. Urządzeniem zaprojektowanym z myślą o bezpieczeństwie staje się tylna klapa. Klucz wspólny zamienia się w klucz główny.
Dwa miliony kierowców. Jedna aktualizacja.
Większość nie dowie się, że należy dokonać aktualizacji, dopóki nie będzie za późno. Albo dopóki okno się nie stłucze. Albo dopóki klakson nie włączy się o drugiej w nocy bez powodu.
Masz aplikację. Masz numer VIN.
Czy naprawdę chcesz wiedzieć, czy jesteś bezbronny?
A może po prostu będziesz dalej jeździć?
