Tratti il tuo telefono come una fortezza. Aggiorna il tuo laptop ogni giorno. Non salti la patch di sicurezza. Eppure la tua macchina, un computer da due tonnellate che sfreccia lungo l’autostrada, potrebbe avere un buco nella sua armatura digitale. Uno che non hai mai chiesto. Uno installato da qualcun altro. E uno che consente agli estranei di hackerare la tua corsa con un segnale Bluetooth da un parcheggio vicino.
Questa non è fantascienza. Sta accadendo proprio adesso.
I ricercatori di sicurezza dell’UC San Diego hanno identificato un difetto critico nel sistema di sicurezza KARR, un dispositivo antifurto aftermarket. Si stima che sia installato in oltre 2 milioni di veicoli negli Stati Uniti. La maggior parte dei proprietari non sa nemmeno che esiste. E per molto tempo non sapevano di essere vulnerabili se le loro auto venivano sbloccate, paralizzate o dirottate.
Il dispositivo nascosto nel cruscotto della tua auto
Il sistema KARR è commercializzato come deterrente contro i furti. È collegato ai sistemi sensibili del veicolo: accensione, allarme, luci, clacson. Di solito viene installato dai concessionari nei lotti di auto nuove per prevenire perdite di inventario. L’assicurazione o la polizza della concessionaria a volte lo impone.
Ma quando acquisti l’auto, il concessionario non sempre la rimuove. Anche se rifiuti il componente aggiuntivo. Anche se non è sulla fattura finale. Il dispositivo rimane. Cablato in profondità nel cruscotto. Lampeggia con la sua debole luce blu. In attesa.
Aaron Schulman, professore di informatica alla UCSD che ha condotto lo studio, lo dice senza mezzi termini.
“Questo è un sistema aggiunto alle auto dai concessionari… presenta una grave vulnerabilità che consente a chiunque di accedere a una qualsiasi di queste auto.”
Il dispositivo avrebbe dovuto rendere la tua auto più sicura. Invece, ha trasformato il tuo veicolo in un bersaglio aperto.
Come gli hacker controllano la tua auto
La vulnerabilità deriva da un’unica chiave di autenticazione condivisa. Tutti i dispositivi KARR utilizzano la stessa chiave. Ciò significa che se un hacker lo trova una volta, può controllarli tutti.
I ricercatori dell’UCSD hanno trovato questa chiave incorporata nel codice dell’app ufficiale per smartphone KARR Security. Utilizzando strumenti di reverse engineering, hanno creato la propria app. Hanno replicato il protocollo di autenticazione. E lo hanno testato.
I risultati furono agghiaccianti.
Con un tocco su uno schermo, un hacker potrebbe:
– Sblocca le porte di un’auto dalla portata del Bluetooth.
– Silenziare l’allarme.
– Accendi i fari e suona il clacson.
– Disattivare l’accensione, lasciando il conducente incagliato sul lato della strada.
Stefan Savage, un altro professore dell’UCSD che non è stato coinvolto in questo studio specifico ma ha contribuito a fare da pioniere nella ricerca sull’hacking automobilistico, ha definito questa minaccia “probabilmente la peggiore” scoperta fino ad oggi.
Perché? Perché la casa automobilistica non può aggiustarlo. Non sai di averlo. E sei disconnesso dalla catena di fornitura che ha installato il software difettoso. Fornisce tutto ciò di cui un ladro ha bisogno. Rimuove ogni vantaggio del proprietario.
La demo di “Mayhem”.
ACRISure Protection Group, la società dietro il sistema KARR, afferma che il rischio è basso. Dicono che la vulnerabilità è complessa ed è improbabile che si verifichi in condizioni reali. Recentemente hanno lanciato un aggiornamento del firmware. Ma ci sono voluti 18 mesi per il rilascio. I ricercatori li avevano avvertiti nel gennaio dello scorso anno. La patch è arrivata settimane prima delle principali conferenze sulla sicurezza. Non è “pronto”. È reattivo.
Nel frattempo i rischi sono tangibili.
I ricercatori lo hanno dimostrato per WIRED. Hanno utilizzato la loro app personalizzata per prendere di mira i veicoli con allarmi KARR. Hanno mostrato come un ladro può aprire un’auto al semaforo rosso. Hanno mostrato come paralizzare un’auto parcheggiata in modo che non si avvii. Hanno persino integrato un pulsante “caos” nell’app. Ha attivato clacson e luci su più auto contemporaneamente. Caos. Nel parcheggio dell’università.
Gli hacker non sono riusciti ad avviare l’accensione da remoto. Ma potrebbero entrare. Una volta dentro, un comune strumento per fabbri disponibile online può creare una chiave da zero. Nel giro di pochi minuti l’auto è sparita. Normalmente l’effrazione fa scattare l’allarme. Ma data la vulnerabilità del KARR, l’allarme resta silenzioso. Il ladro entra. Silenziosamente.
Come controllare e riparare la tua auto
Devi controllare la tua macchina. Ora.
Cerca un adesivo sul finestrino lato conducente. Dirà KARR. A volte dirà “SWDS” per Southwest Dealer Services, una filiale di ACRISure. Cerca sotto il cruscotto un piccolo dispositivo con una luce lampeggiante.
Se ce l’hai, devi aggiornare il firmware.
ACRISure afferma che gli utenti con l’app KARR Security installata dovrebbero visualizzare un avviso. Se non hai l’app, scaricala (iOS o Android). Collegalo al dispositivo della tua auto. Vai a “servizio clienti”. Seleziona “aggiornamento firmware”.
Non è difficile. Ma devi sapere che è lì.
E questo è il problema. La metà dei proprietari non ha richiesto il dispositivo. Non sanno che l’app esiste. Non sanno controllare la finestra. Nel sud della California, il dispositivo è comune. I rivenditori lì lo adorano. Ma i ricercatori hanno trovato sistemi KARR nei veicoli di tutti gli Stati Uniti. Anche all’estero.
Perché è importante
Nishant Bhaskar, un ricercatore dell’UCSD, ha notato per la prima volta questi segnali Bluetooth nel 2018. Stava cercando dispositivi skimmer nelle stazioni di servizio. Poi li ha visti sull’autostrada. Centinaia di loro. Di diverse marche. Diversi modelli. Li ha cercati nel database della FCC. Erano allarmi KARR.
Ci sono voluti sei anni. Sei anni di segnali che rimbalzavano sulle strade, in attesa che qualcuno capisse cosa significassero. Lo studente laureato Jerry Yu lo ha finalmente risolto nel 2024. Ha trovato la chiave universale. La password condivisa.
Il pericolo è la facilità di accesso. Un altro ricercatore, Yibo Wei, ha utilizzato WiGLE, un database di segnali radio in crowdsourcing, per stimare la portata. Due milioni di dispositivi. Quel numero è conservativo. La scansione reale li mostra ovunque.
Durante un test, la squadra ha girato per il campus dell’UCSD per 20 minuti. Hanno trovato 97 auto vulnerabili. In un piccolo raggio. In pochi minuti.
Questi dispositivi trasmettono la loro posizione. Gli hacker possono tenere traccia dei modelli storici. Possono vedere dove parcheggi. Dove vivi. Dov’è la tua routine. È il sogno di ogni scout. Per un ladro, è una tabella di marcia.
La patch non basta
L’aggiornamento del firmware risolve il difetto di autenticazione. Chiude la porta sul retro. Ma l’aggiornamento si basa sulla tua azione. Se noti un adesivo. Quando scarichi un’app di cui potresti non sapere nemmeno di aver bisogno.
Il sistema è stato progettato per la sicurezza. Ha fallito perché si basava su un segreto condiviso in un mondo di dispositivi collegati in rete. Un singolo punto di fallimento. Su milioni di auto.
Schulman ha ragione a preoccuparsi della pervasività. Quando un concessionario installa qualcosa di default in ogni auto, la scala è inimmaginabile. Non puoi fare affidamento sul produttore. Non ce l’hanno fatta. Non puoi fare affidamento sul rivenditore. Probabilmente non ti chiameranno.
Devi proteggere il tuo veicolo.
Controlla la finestra. Trova il dispositivo. Aggiorna il codice.
Perché la prossima volta che ti fermi a un semaforo, lasci l’auto nel garage o ti siedi nel vialetto in attesa di un passaggio… qualcuno con un telefono e una connessione Bluetooth potrebbe essere a portata di tocco.
