Une erreur de programmation chez un fournisseur d'alarmes automobiles a rendu des millions de véhicules vulnérables au vol et à la géolocalisation. Du fait des méthodes de vente employées par les concessionnaires, de nombreux conducteurs concernés ignorent même qu'ils en possèdent une.
Il s'agit du système de sécurité KARR, une alarme Bluetooth adaptable, fabriquée par Acrisure Protection Group. Son installation est assurée par les concessionnaires, principalement chez Honda, Toyota, Mazda, Ford et Jeep en Californie du Sud.
Les alarmes de voiture installées après l'achat constituent un aspect étrange de l'industrie automobile. Les concessionnaires les installent dans votre véhicule avant même que vous ne le voyiez, puis tentent de vous vendre un abonnement. Si vous refusez, le système reste en place. Selon des chercheurs de l'Université de Californie à San Diego, environ 2,2 millions de véhicules américains sont équipés de systèmes KARR, et près de la moitié des propriétaires ignorent même leur présence.
L'équipe de recherche, dirigée par le professeur d'informatique Aaron Schulman, a étudié le système et a découvert un défaut de conception unique qui s'est répété sur près d'une décennie d'installations.
Chaque appareil KARR utilise la même clé d'authentification, stockée en clair dans l'application KARR pour smartphone. Une fois extraite, cette clé permet de communiquer avec n'importe quel véhicule équipé d'un système KARR fabriqué depuis 2017. C'est précisément ce qu'ont fait les chercheurs.
Que fait réellement l'attaque ?
En se tenant à environ cinq mètres d'un véhicule ciblé, un attaquant utilisant l'outil de démonstration mis au point par les chercheurs peut déverrouiller le véhicule et même désactiver son contact, laissant potentiellement le conducteur en panne. Le seul signe extérieur est un bref bip et un clignotement lors de l'envoi de la commande. Le propriétaire ne reçoit aucune alerte.
Le problème du suivi de localisation est sans doute encore plus préoccupant. Les unités KARR diffusent en permanence des identifiants Bluetooth, ce qui permet aux bases de données radio collaboratives comme WiGLE d'enregistrer leurs positions depuis des années. En intégrant l'identifiant d'un appareil dans WiGLE, on peut reconstituer l'historique de stationnement de la voiture. De quoi faire rêver les harceleurs. Les chercheurs ont également présenté un mode « chaos » qui active simultanément les klaxons et les feux de plusieurs véhicules stationnés.
Les propriétaires qui ont refusé le service payant et qui pensaient que le matériel était inactif se sont trompés. D'après les chercheurs, les unités en veille acceptent une simple commande de réveil Bluetooth avant de rendre leurs fonctionnalités.
Dix-huit mois, une date limite de conférence
L'Université de Californie à San Diego a signalé la faille à Acrisure en janvier 2025, mais un correctif de firmware n'est arrivé que le 20 juillet 2026, soit environ 18 mois plus tard, et seulement quelques semaines avant que l'équipe ne présente ses conclusions à la DEF CON. hacker Une conférence aura lieu le mois prochain. Acrisure a publiquement qualifié le risque réel de faible.
Comparons cela à la réaction de Subaru face à une faille similaire dans un système de voiture connectée, révélée l'an dernier. Des chercheurs ont découvert que le portail d'administration Starlink de Subaru permettait à quiconque possédant la plaque d'immatriculation et le nom ou l'adresse électronique du propriétaire d'accéder à n'importe quel véhicule. Dès lors, il était possible de déverrouiller les portières et de démarrer le moteur, ou encore de consulter un an d'historique de localisation précis à cinq mètres près.
Les problèmes sous-jacents étaient un point de terminaison de réinitialisation de mot de passe non sécurisé et une protection insuffisante contre le contournement de l'authentification à deux facteurs (2FA). Subaru a corrigé ces problèmes en moins de 24 heures.
La solution ne peut pas atteindre la moitié de son public.
Le problème, c'est que le correctif est distribué via l'application KARR, que seuls les clients payants ont téléchargée. Les chercheurs estiment qu'au moins la moitié des propriétaires de véhicules équipés de ces dispositifs ne l'ont pas demandé, ce qui signifie qu'il y a peu de chances qu'ils utilisent l'application ou mettent à jour le micrologiciel. Environ un million de personnes ne peuvent pas installer un correctif dont elles ignorent l'existence. Cela concerne notamment de nombreuses personnes ayant potentiellement acheté un véhicule équipé d'un système KARR sur le marché de l'occasion.
Comment vérifier votre voiture
Recherchez un autocollant KARR sur la vitre côté conducteur, ou un autocollant portant la mention « SWDS » pour SouthWest Dealer Services (une filiale d'Acrisure). Ensuite, vérifiez sous le tableau de bord : vous y trouverez peut-être un petit bouton avec un voyant clignotant, comme indiqué par Wired . Si vous en trouvez un, téléchargez l'application KARR et installez la mise à jour du micrologiciel, même si vous n'avez jamais souscrit à l'alarme.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .
