Un error de programación de un fabricante de alarmas para coches ha dejado a millones de vehículos expuestos al robo y al rastreo de su ubicación. Debido a la forma en que los concesionarios venden las alarmas para coches, muchos conductores afectados ni siquiera saben que tienen una instalada.
El dispositivo es el KARR Security System, una alarma de posventa con conexión Bluetooth fabricada por Acrisure Protection Group. La instalan los concesionarios, principalmente en los de Honda, Toyota, Mazda, Ford y Jeep del sur de California.
Las alarmas de coche de recambio constituyen un rincón peculiar del sector del automóvil. Los concesionarios las instalan en tu coche antes incluso de que lo veas y, después, intentan venderte la suscripción. Si te niegas, el dispositivo sigue ahí. Según investigadores de la Universidad de California en San Diego, hay sistemas KARR instalados en unos 2,2 millones de vehículos estadounidenses, y aproximadamente la mitad de los propietarios ni siquiera saben que están ahí.
El equipo de investigación, dirigido por el profesor de informática Aaron Schulman, analizó el sistema y descubrió un único fallo de diseño que se repetía en las instalaciones realizadas a lo largo de casi una década.
Todos los dispositivos KARR comparten la misma clave de autenticación, que se almacena en texto sin cifrar dentro de la aplicación de KARR para smartphones. Basta con extraerla una vez para poder comunicarse con cualquier vehículo equipado con KARR fabricado a partir de 2017. Eso es precisamente lo que hicieron los investigadores.
Qué hace realmente el ataque
Situándose a unas cinco yardas de un vehículo objetivo, un atacante que utilice la herramienta de prueba de concepto desarrollada por los investigadores puede desbloquear el vehículo e incluso desactivar el sistema de arranque, lo que podría dejar al conductor tirado. El único indicio externo es un breve pitido y un parpadeo cuando se envía el comando. El propietario no recibe ninguna alerta.
El problema del seguimiento de la ubicación es, posiblemente, aún más preocupante. Las unidades KARR emiten continuamente identificadores Bluetooth, por lo que las bases de datos de radio colaborativas, como WiGLE, llevan años registrando sus ubicaciones. Basta con introducir el identificador de un dispositivo en WiGLE para hacerse una idea de dónde ha estado aparcado ese coche. Es el sueño de cualquier acosador. Los investigadores también demostraron un modo «caos» que activa las bocinas y las luces de varios vehículos aparcados a la vez.
Los propietarios que rechazaron el servicio de pago y dieron por hecho que el dispositivo estaba inactivo se equivocaron. Según los investigadores, los dispositivos inactivos aceptan un único comando de activación por Bluetooth antes de volver a ofrecer la misma funcionalidad.
Dieciocho meses, un plazo para la conferencia
La Universidad de California en San Diego comunicó la vulnerabilidad a Acrisure en enero de 2025, pero la corrección del firmware no llegó hasta el 20 de julio de 2026 —aproximadamente 18 meses después— y solo unas semanas antes de que el equipo tuviera previsto presentar sus hallazgos en la hacker DEF CON el mes que viene. Acrisure ha calificado públicamente el riesgo en el mundo real como bajo.
Compárese esto con la respuesta de Subaru ante un fallo similar en sus coches conectados que se reveló el año pasado. Los investigadores descubrieron que el portal de administración Starlink de Subaru permitía ceder el control de cualquier coche a cualquier persona que dispusiera de la matrícula y del apellido o la dirección de correo electrónico del propietario. A partir de ahí, alguien podía desbloquear las puertas y arrancar el motor, o acceder al historial de ubicaciones de todo un año con una precisión de cinco metros.
Los problemas subyacentes eran un punto final de restablecimiento de contraseña inseguro y una protección deficiente contra eludir la autenticación de dos factores (2FA). Subaru solucionó los problemas en menos de 24 horas.
La solución no llega ni a la mitad de su público
Lo complicado de todo esto es que el parche se distribuye a través de la aplicación complementaria KARR, que solo los clientes de pago habrían descargado. Los investigadores estiman que al menos la mitad de los propietarios de coches con estos dispositivos instalados no lo solicitaron, lo que significa que hay pocas posibilidades de que utilicen la aplicación o actualicen el firmware. Aproximadamente un millón de personas no pueden aplicar un parche a algo cuya existencia desconocen. Entre ellas se encuentran muchas personas que podrían haber comprado un vehículo equipado con KARR en el mercado de segunda mano.
Cómo revisar tu coche
Busca una pegatina de KARR en la ventanilla del lado del conductor, o una que ponga «SWDS» (por SouthWest Dealer Services, una filial de Acrisure). A continuación, comprueba si hay un pequeño botón con una luz parpadeante en la parte inferior del salpicadero, según Wired. Si lo encuentras, descárgate la aplicación de KARR y aplica la actualización de firmware, incluso si nunca te has suscrito a la alarma de forma consciente.
No nos limitamos a informar de las amenazas: las eliminamos
Los riesgos de ciberseguridad nunca deben propagarse más allá de un titular. Mantenga las amenazas alejadas de sus dispositivos descargando Malwarebytes hoy mismo.
