Un errore di programmazione commesso da un fornitore di allarmi per auto ha reso milioni di veicoli vulnerabili al furto e al tracciamento della posizione. A causa delle modalità di vendita degli allarmi da parte dei concessionari, molti automobilisti coinvolti non sanno nemmeno di averne uno installato.
Il dispositivo in questione è il KARR Security System, un allarme aftermarket con funzionalità Bluetooth realizzato da Acrisure Protection Group. Viene installato dai concessionari, principalmente presso le concessionarie Honda, Toyota, Mazda, Ford e Jeep della California meridionale.
Gli allarmi per auto aftermarket rappresentano un settore particolare dell’industria automobilistica. I concessionari li installano nella vostra auto prima ancora che possiate vederla, per poi cercare di vendervi l’abbonamento in un secondo momento. Se rifiutate, l’hardware rimane comunque installato. Secondo i ricercatori dell’Università della California di San Diego, i sistemi KARR sono installati su circa 2,2 milioni di veicoli americani e circa la metà dei proprietari non sa nemmeno della loro presenza.
Il gruppo di ricerca, guidato dal professore di informatica Aaron Schulman, ha analizzato il sistema e ha individuato un unico difetto di progettazione che si è ripetuto in quasi un decennio di installazioni.
Ogni dispositivo KARR condivide la stessa chiave di autenticazione, che è memorizzata in chiaro all’interno dell’app KARR per smartphone. Basta estrarla una volta per poter comunicare con qualsiasi veicolo dotato di KARR prodotto a partire dal 2017. Ed è proprio quello che hanno fatto i ricercatori.
Cosa fa effettivamente l'attacco
Trovandosi a circa cinque iarde da un veicolo bersaglio, un malintenzionato che utilizzi lo strumento “proof-of-concept” messo a punto dai ricercatori può sbloccare il veicolo e persino disattivarne l’accensione, lasciando potenzialmente il conducente a piedi. L’unico segno visibile è un breve segnale acustico e un lampeggiamento al momento dell’invio del comando. Il proprietario non riceve alcun avviso.
La questione del tracciamento della posizione è probabilmente ancora più preoccupante. Le unità KARR trasmettono continuamente identificatori Bluetooth, quindi i database radio basati sul crowdsourcing come WiGLE ne registrano le posizioni da anni. Inserendo l’identificatore di un dispositivo su WiGLE è possibile ricostruire un quadro dei luoghi in cui quell’auto è stata parcheggiata. È il sogno di ogni stalker. I ricercatori hanno inoltre dimostrato una modalità “mayhem” che attiva contemporaneamente clacson e luci su più veicoli parcheggiati.
I proprietari che hanno rifiutato il servizio a pagamento, ritenendo che l'hardware fosse inattivo, si sono sbagliati. Secondo i ricercatori, le unità inattive accettano un unico comando di riattivazione via Bluetooth prima di ripristinare le stesse funzionalità.
Diciotto mesi, una scadenza per la conferenza
L'Università della California di San Diego ha segnalato la vulnerabilità ad Acrisure nel gennaio 2025, ma la correzione del firmware è stata rilasciata solo il 20 luglio 2026, circa 18 mesi dopo e a poche settimane dalla presentazione dei risultati da parte del team alla hacker DEF CON, in programma il mese prossimo. Acrisure ha pubblicamente definito basso il rischio concreto.
Si confronti questo con la risposta di Subaru a una vulnerabilità simile relativa alle auto connesse, resa nota lo scorso anno. I ricercatori hanno scoperto che il portale di amministrazione Starlink di Subaru poteva consentire a chiunque, in possesso della targa e del cognome o dell’indirizzo e-mail del proprietario, di assumere il controllo di qualsiasi auto. Da lì, era possibile sbloccare le portiere e avviare il motore, oppure accedere alla cronologia delle posizioni registrate nell’ultimo anno con una precisione di cinque metri.
I problemi alla base erano un endpoint per la reimpostazione della password non sicuro e una protezione insufficiente contro l'aggiramento dell'autenticazione a due fattori (2FA). Subaru ha risolto i problemi entro 24 ore.
La soluzione non riesce a raggiungere nemmeno la metà del suo pubblico
Il problema è che la patch viene distribuita tramite l’app KARR, che solo i clienti paganti avrebbero mai scaricato. I ricercatori stimano che almeno la metà dei proprietari di auto con questi dispositivi installati non l’abbia richiesta, il che significa che è improbabile che utilizzino l’app o aggiornino il firmware. Circa un milione di persone non può applicare una patch a qualcosa di cui ignora l’esistenza. Tra queste figurano molte persone che potrebbero aver acquistato un veicolo dotato di KARR sul mercato dell’usato.
Come controllare la propria auto
Cerca un adesivo KARR sul finestrino lato guidatore oppure uno con la scritta “SWDS”, che sta per SouthWest Dealer Services (una controllata di Acrisure). Quindi, secondo quanto riportato da Wired, controlla sotto il cruscotto se c’è un piccolo pulsante con una spia lampeggiante. Se lo trovi, download KARR e installa l’aggiornamento del firmware, anche se non hai mai sottoscritto consapevolmente l’abbonamento all’allarme.
Non ci limitiamo a segnalare le minacce, ma le eliminiamo.
I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi scaricando Malwarebytes oggi stesso.
