Um erro de codificação cometido por um fornecedor de alarmes para automóveis deixou milhões de veículos vulneráveis a roubos e à localização. Devido à forma como os concessionários vendem os alarmes para automóveis, muitos condutores afetados nem sequer sabem que têm um instalado.
O dispositivo é o KARR Security System, um sistema de alarme pós-venda com Bluetooth fabricado pela Acrisure Protection Group. É instalado por concessionários, principalmente nas concessionárias Honda, Toyota, Mazda, Ford e Jeep no sul da Califórnia.
Os alarmes para automóveis de pós-venda constituem um nicho peculiar da indústria automóvel. Os concessionários instalam-nos no seu carro antes mesmo de o ver, e depois tentam vender-lhe a assinatura. Se recusar, o equipamento continua instalado. De acordo com investigadores da Universidade da Califórnia em San Diego, os sistemas KARR estão instalados em cerca de 2,2 milhões de veículos norte-americanos, e cerca de metade dos proprietários nem sequer sabe que eles existem.
A equipa de investigação, liderada pelo professor de ciências da computação Aaron Schulman, analisou o sistema e descobriu uma única falha de conceção que se repetiu ao longo de quase uma década de instalações.
Todos os dispositivos KARR partilham a mesma chave de autenticação, que está armazenada em texto simples na aplicação KARR para smartphone. Basta extraí-la uma vez para poder comunicar com qualquer veículo equipado com KARR fabricado a partir de 2017. Foi isso que os investigadores fizeram.
O que o ataque faz, na realidade
A uma distância de cerca de cinco jardas de um veículo alvo, um atacante que utilize a ferramenta de prova de conceito dos investigadores pode desbloquear o veículo e até desativar a ignição, o que pode deixar o condutor encalhado. O único sinal visível é um breve sinal sonoro e um piscar de luzes quando o comando é enviado. O proprietário não recebe qualquer alerta.
A questão do rastreio de localização é, sem dúvida, ainda mais preocupante. As unidades KARR transmitem continuamente identificadores Bluetooth, pelo que bases de dados de rádio alimentadas por contribuições da comunidade, como o WiGLE, têm vindo a registar as suas localizações há anos. Basta introduzir o identificador de um dispositivo no WiGLE para se poder ter uma ideia dos locais onde esse carro esteve estacionado. É o sonho de qualquer perseguidor. Os investigadores também demonstraram um modo «caos» que aciona buzinas e luzes em vários veículos estacionados ao mesmo tempo.
Os proprietários que recusaram o serviço pago e presumiram que o equipamento estava inativo estavam enganados. Segundo os investigadores, as unidades inativas aceitam um único comando de ativação via Bluetooth antes de voltarem a apresentar a mesma funcionalidade.
Dezoito meses, um prazo para a conferência
A UC San Diego comunicou a falha à Acrisure em janeiro de 2025, mas a correção do firmware só foi disponibilizada a 20 de julho de 2026 — cerca de 18 meses depois e apenas algumas semanas antes da data em que a equipa deveria apresentar as suas conclusões na hacker DEF CON, no mês que vem. A Acrisure classificou publicamente o risco no mundo real como baixo.
Compare isso com a resposta da Subaru a uma falha semelhante nos veículos conectados, revelada no ano passado. Os investigadores descobriram que o portal de administração Starlink da Subaru permitia transferir o controlo de qualquer carro para qualquer pessoa que tivesse a matrícula e o apelido ou o e-mail do proprietário. A partir daí, era possível desbloquear as portas e ligar o motor — ou aceder a um ano de histórico de localização com uma precisão de cinco metros.
Os problemas subjacentes consistiam num ponto de acesso para a reposição de palavras-passe inseguro e numa proteção fraca contra a contornagem da autenticação de dois fatores (2FA). A Subaru resolveu os problemas no prazo de 24 horas.
A solução não consegue chegar a metade do seu público
O problema aqui é que a atualização é distribuída através da aplicação complementar KARR, que apenas os clientes pagantes teriam descarregado. Os investigadores estimam que pelo menos metade dos proprietários de automóveis com estes dispositivos instalados não a solicitaram, o que significa que há poucas hipóteses de utilizarem a aplicação ou atualizarem o firmware. Cerca de um milhão de pessoas não podem aplicar uma correção a algo cuja existência desconhecem. Isto inclui muitas pessoas que possam ter adquirido um veículo equipado com o KARR no mercado de segunda mão.
Como verificar o seu carro
Procure um autocolante da KARR na janela do lado do condutor ou um com a indicação «SWDS», que corresponde à SouthWest Dealer Services (uma subsidiária da Acrisure). Em seguida, verifique a parte inferior do painel de instrumentos para ver se existe um pequeno botão com uma luz intermitente, de acordo com a revista Wired. Se encontrar um, descarregue a aplicação da KARR e aplique a atualização de firmware — mesmo que nunca tenha subscrito conscientemente o alarme.
Não nos limitamos a comunicar as ameaças - eliminamo-las
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos descarregando Malwarebytes hoje mesmo.
