Bug nell’allarme per auto: milioni di veicoli a rischio hacking
Un bug informatico nel sistema KARR espone i conducenti a furti e al rischio di tracciamento, anche senza un abbonamento attivo.
Un errore di programmazione nel software di un sistema di allarme per auto ha reso milioni di veicoli vulnerabili al furto e al monitoraggio non autorizzato della posizione. Il dispositivo in questione è il KARR Security System, un sistema di allarme aftermarket con funzionalità Bluetooth sviluppato da Acrisure Protection Group. Questo sistema viene spesso preinstallato dai concessionari prima della vendita, con la finalità di proporre in un secondo momento la sottoscrizione di un abbonamento.
Milioni di auto dal 2017
Il rischio principale risiede nel fatto che, se l’acquirente rifiuta il servizio, il dispositivo rimane comunque installato nell’automobile. Un gruppo di ricercatori dell’Università della California di San Diego ha rilevato un difetto di progettazione presente in dispositivi installati nell’arco di quasi un decennio: ogni dispositivo KARR, prodotto a partire dal 2017, condivide la medesima chiave di autenticazione memorizzata in chiaro all’interno dell’app ufficiale. Per un malintenzionato è sufficiente estrarre questa chiave una sola volta per poter comunicare con qualsiasi veicolo equipaggiato.
Cosa può fare un hacker
Trovandosi a breve distanza, un hacker può sbloccare il veicolo e disattivare l’accensione all’insaputa del proprietario, oppure far suonare il clacson e accendere le luci su più auto parcheggiate. Altrettanto preoccupante è la possibilità di tracciamento continuo, poiché i dispositivi trasmettono costantemente identificatori Bluetooth che possono rivelare gli spostamenti dell’auto, rendendola un facile bersaglio per gli stalker. Anche chi non ha mai sottoscritto l’abbonamento ed è convinto che il dispositivo sia inattivo è in pericolo, poiché il sistema può essere riattivato in remoto tramite Bluetooth.
La risoluzione
Nonostante il problema sia stato già a gennaio 2025, la patch del firmware è stata rilasciata solo a luglio 2026, cioè 18 mesi dopo la scoperta. La soluzione adottata risulta tuttavia insufficiente, poiché l’aggiornamento viene rilasciato unicamente attraverso l’app KARR, che chi non ha un abbonamento attivo solitamente non scarica.
Di conseguenza, circa un milione di persone non potrà aggiornare un dispositivo di cui ignora perfino l’esistenza. Per verificare se la propria auto è a rischio, è consigliabile cercare un adesivo KARR sul finestrino o un piccolo pulsante con spia lampeggiante sotto il cruscotto: se presenti, è fondamentale scaricare l’app e installare l’aggiornamento del firmware per mettere in sicurezza il veicolo.
