Una vulnerabilità nei sistemi di sicurezza automobilistica KARR e SWDS, prodotti da Acrisure, potrebbe esporre al controllo remoto via Bluetooth circa 2,2 milioni di auto. I dispositivi, installati dai concessionari come strumenti antifurto e di localizzazione, possono essere sfruttati per sbloccare le portiere e impartire ulteriori comandi al veicolo, trasformando un componente pensato per proteggerlo in un possibile punto di accesso.
I ricercatori della University of California San Diego hanno ricondotto i veicoli interessati alle vendite effettuate da concessionari della California meridionale a partire dal 2017. La successiva circolazione sul mercato dell’usato rende però difficile delimitarne la distribuzione: le auto potrebbero trovarsi in altre aree degli Stati Uniti o essere arrivate fino in Giappone. Durante l’indagine è stato inoltre individuato un database pubblicamente accessibile contenente informazioni sui veicoli equipaggiati con questi sistemi.
Le installazioni riguardano automobili acquistate presso concessionari Honda, Toyota e Mazda, oltre che nelle reti Ford e Jeep. Gli esemplari coinvolti possono essere riconosciuti dalla targhetta KARR-SWDS applicata al finestrino sul lato del conducente, mentre il dispositivo antifurto è montato sotto il cruscotto. Non si tratta quindi di una dotazione nativa necessariamente associata a uno specifico modello, ma di hardware aggiunto dai rivenditori.
Il funzionamento ordinario passa attraverso un’app mobile, che comunica con il sistema KARR mediante Bluetooth. L’utente può bloccare e sbloccare le portiere, azionare il clacson e far lampeggiare i fari. Il dispositivo può anche impedire l’avviamento dell’automobile, sebbene questa funzione non abbia effetto quando il motore è già acceso. Sono gli stessi comandi che, in presenza della vulnerabilità, possono finire nelle mani di un attaccante.
Il problema risiede nell’implementazione della protezione: i ricercatori hanno scoperto che i sistemi KARR utilizzano la medesima chiave di sicurezza. Una volta violata quella chiave, tutte le automobili dotate dello stesso dispositivo sarebbero potenzialmente attaccabili. Non è possibile sostituire la chiave, né disabilitare la connettività Bluetooth, due limiti che riducono drasticamente le opzioni di mitigazione disponibili direttamente agli automobilisti.
L’esposizione non dipende nemmeno dall’attivazione del servizio. Se l’acquirente non paga l’abbonamento all’applicazione e al sistema KARR, l’hardware rimane installato e conserva l’accesso a portiere, accensione, clacson e fari. La superficie di attacco resta quindi presente anche quando il proprietario non utilizza consapevolmente il prodotto, con conseguenze che coinvolgono clienti, concessionari e operatori del mercato dell’usato.
La rimozione fisica è complessa. Yibo Wei, dottorando in informatica e coautore della ricerca, ha spiegato che occorre aprire il cruscotto, tagliare i cavi e ricollegarli, perché sono profondamente intrecciati con i computer e il sistema di accensione dell’auto. Il coautore Jerry Yu ha sintetizzato il rischio osservando che, invece di rompere un finestrino, un ladro potrebbe collegarsi da remoto al dispositivo Bluetooth e ordinargli di aprire le portiere.
KARR ha precisato che il problema interessa soltanto i veicoli sui quali sono stati installati determinati componenti Bluetooth e ha distribuito un aggiornamento firmware. Resta però la necessità di identificare con precisione le auto coinvolte, comprese quelle passate di proprietario o trasferite lontano dai concessionari originari. Il caso mostra quanto un accessorio connesso, se integrato profondamente nei sistemi del veicolo, possa estendere nel tempo i rischi della sicurezza automobilistica.