Błąd w kodowaniu popełniony przez producenta alarmów samochodowych sprawił, że miliony pojazdów są narażone na kradzież i śledzenie lokalizacji. Ze względu na sposób, w jaki sprzedawcy oferują alarmy samochodowe, wielu kierowców, których dotyczy ten problem, nawet nie wie, że mają je zainstalowane.
Urządzenie to KARR Security System – dodatkowy system alarmowy z obsługą Bluetooth, wyprodukowany przez firmę Acrisure Protection Group. Jest ono montowane przez dealerów, głównie w salonach Hondy, Toyoty, Mazdy, Forda i Jeepa w południowej Kalifornii.
Alarmy samochodowe montowane po zakupie to dość osobliwa dziedzina branży motoryzacyjnej. Dealerzy instalują je w samochodzie, zanim klient w ogóle go zobaczy, a potem próbują sprzedać mu abonament. Nawet jeśli klient odmówi, sprzęt i tak pozostaje na swoim miejscu. Według naukowców z Uniwersytetu Kalifornijskiego w San Diego systemy KARR są zainstalowane w około 2,2 miliona amerykańskich pojazdów, a około połowa właścicieli nawet nie wie o ich istnieniu.
Zespół badawczy pod kierownictwem profesora informatyki Aarona Schulmana przeanalizował ten system i wykrył jedną wadę projektową, która powtarzała się w instalacjach realizowanych przez prawie dekadę.
Każde urządzenie KARR korzysta z tego samego klucza uwierzytelniającego, który jest przechowywany w postaci zwykłego tekstu w aplikacji KARR na smartfony. Wystarczy go raz wyodrębnić, aby nawiązać łączność z dowolnym pojazdem wyposażonym w system KARR, wyprodukowanym od 2017 roku. Właśnie to zrobili naukowcy.
Jak faktycznie działa ten atak
Stojąc w odległości około pięciu jardów od docelowego pojazdu, osoba atakująca korzystająca z narzędzia typu „proof-of-concept” opracowanego przez naukowców może odblokować pojazd, a nawet wyłączyć zapłon, co może spowodować, że kierowca utknie w miejscu. Jedyną widoczną oznaką jest krótki sygnał dźwiękowy i migotanie w momencie wysłania polecenia. Właściciel nie otrzymuje żadnego powiadomienia.
Kwestia śledzenia lokalizacji budzi prawdopodobnie jeszcze większe obawy. Pojazdy KARR nieustannie nadają identyfikatory Bluetooth, więc społecznościowe bazy danych radiowych, takie jak WiGLE, od lat rejestrują ich lokalizacje. Wystarczy wpisać identyfikator urządzenia do serwisu WiGLE, aby uzyskać obraz miejsc, w których dany samochód był zaparkowany. To marzenie każdego prześladowcy. Naukowcy zademonstrowali również tryb „mayhem”, który uruchamia jednocześnie klaksony i światła w wielu zaparkowanych pojazdach.
Właściciele, którzy zrezygnowali z płatnej usługi i uznali, że sprzęt jest nieaktywny, byli w błędzie. Według naukowców urządzenia w stanie uśpienia przyjmują jedno polecenie wybudzające przez Bluetooth, po czym udostępniają tę samą funkcjonalność.
Osiemnaście miesięcy, jeden termin konferencji
Uniwersytet Kalifornijski w San Diego poinformował firmę Acrisure o tej luce w styczniu 2025 r., jednak poprawka oprogramowania sprzętowego pojawiła się dopiero 20 lipca 2026 r. — czyli około 18 miesięcy później i zaledwie kilka tygodni przed planowaną prezentacją wyników badań zespołu na hacker DEF CON w przyszłym miesiącu. Firma Acrisure publicznie określiła rzeczywiste ryzyko jako niskie.
Porównajmy to z reakcją firmy Subaru na podobną lukę w systemie samochodów połączonych z internetem, ujawnioną w zeszłym roku. Badacze odkryli, że portal administracyjny Starlink firmy Subaru umożliwiał przekazanie kontroli nad dowolnym samochodem każdemu, kto dysponował numerem rejestracyjnym oraz nazwiskiem lub adresem e-mail właściciela. Dzięki temu można było odblokować drzwi i uruchomić silnik — albo uzyskać dostęp do rocznej historii lokalizacji z dokładnością do pięciu metrów.
Podstawowymi problemami były: niezabezpieczony punkt końcowy służący do resetowania hasła oraz słaba ochrona przed obejściem uwierzytelniania dwuskładnikowego (2FA). Firma Subaru usunęła te problemy w ciągu 24 godzin.
Rozwiązanie to nie dociera do połowy odbiorców
Problem polega na tym, że aktualizacja jest udostępniana za pośrednictwem aplikacji towarzyszącej KARR, którą pobrali wyłącznie klienci płacący za usługę. Badacze szacują, że co najmniej połowa właścicieli samochodów z zainstalowanymi tymi urządzeniami nie prosiła o tę aplikację, co oznacza, że istnieje niewielka szansa, iż uruchomią oni aplikację lub zaktualizują oprogramowanie sprzętowe. Około miliona osób nie może zainstalować poprawki, o której istnieniu nie ma pojęcia. Dotyczy to również wielu osób, które mogły nabyć pojazd wyposażony w system KARR na rynku wtórnym.
Jak sprawdzić stan samochodu
Poszukaj naklejki KARR na szybie po stronie kierowcy lub naklejki z napisem „SWDS” (SouthWest Dealer Services – spółka zależna Acrisure). Następnie, zgodnie z informacjami magazynu „Wired”, sprawdź, czy pod deską rozdzielczą znajduje się mały przycisk z migającą diodą. Jeśli go znajdziesz, pobierz aplikację KARR i zainstaluj aktualizację oprogramowania sprzętowego – nawet jeśli nigdy świadomie nie wykupiłeś tej usługi alarmowej.
Nie tylko informujemy o zagrożeniach - my je usuwamy
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówek. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś.
