Como autos modernos se han convertido en computadoras sobre ruedas de varias toneladas, los conductores están comenzando a aprender que necesitan instalar actualizaciones de seguridad para el código de sus vehículos, tal como lo harían para un teléfono o una computadora portátil. Sin embargo, ni siquiera los propietarios de automóviles más expertos en tecnología esperarían que necesitarían instalar un parche para un componente inseguro de terceros que nunca instalaron o solicitaron (y probablemente ni siquiera conocen) y que ha sido conectado a algunos de los sistemas más sensibles de su vehículo, dejándolo vulnerable a piratería sigilosa, rastreo e incluso parálisis en la carretera.
Ese es el inquietante descubrimiento de un equipo de investigadores de seguridad de UC San Diego, quienes descubrieron que un modelo de alarma de automóvil de posventa conocido como Sistema de Seguridad KARR, instalado en más de 2 millones de vehículos en los EE. UU. según sus estimaciones, puede permitir que cualquier pirata informático dentro del alcance de Bluetooth envíe comandos de radio para desbloquear silenciosamente el automóvil a voluntad, apagar la alarma, tocar la bocina del automóvil o encender las luces, o incluso desactivar su encendido y dejar al conductor varado.
Los dispositivos de alarma KARR generalmente los instalan los concesionarios de automóviles, no los fabricantes ni los propietarios, y se utilizan como medida para evitar el robo de automóviles en los lotes de los concesionarios. Sin embargo, cuando los autos se venden, las alarmas generalmente no se quitan, incluso si el comprador se niega a pagar por ellas como característica adicional. Eso significa que los propietarios de automóviles en todo Estados Unidos tienen un dispositivo pirateable debajo del capó cuyo código necesitarán actualizar para proteger su vehículo, pero uno que, en muchos casos, nunca compraron y no tienen idea de que está ahí.
«Este es un sistema agregado a los automóviles por los concesionarios y, desafortunadamente, tiene una vulnerabilidad grave que permite que cualquiera tenga acceso a cualquiera de estos automóviles», dice Aaron Schulman, profesor de informática de la UCSD que dirigió la investigación. «Está diseñado para hacer que los automóviles sean más seguros, pero en última instancia ha creado una vulnerabilidad que debe repararse inmediatamente en millones de vehículos. Estamos tratando de hacer correr la voz de que es necesario revisar su automóvil para detectar este dispositivo y parchearlo manualmente ahora».
La empresa que vende el sistema de seguridad KARR, Acrisure Protection Group, lanzó hoy una actualización de firmware para el modelo Bluetooth vulnerable de su alarma KARR del mercado de accesorios para solucionar los problemas de seguridad descubiertos por UCSD. Los propietarios de automóviles que ya tienen instalada la aplicación para teléfonos inteligentes KARR Security deberían recibir una alerta sobre la actualización del firmware, dice el equipo de UCSD. Aquellos que no lo tengan instalado deberán descargar la aplicación para teléfonos inteligentes KARR Security System (Android, iOS), conectarla a la alarma KARR de su vehículo y luego tocar «servicio al cliente» y «actualización de firmware».
Dado que al menos la mitad de los propietarios de automóviles que tienen el dispositivo KARR instalado no pidieron que estuviera en sus vehículos, según la estimación de UCSD, puede verificar si su automóvil tiene el dispositivo buscando una calcomanía de KARR en la ventana del lado del conductor de su automóvil (o, en algunos casos, una calcomanía que dice «SWDS» para SouthWest Dealer Services, una subsidiaria de Acrisure Protection Group), así como un pequeño botón con una luz parpadeante adherida a la parte inferior de su automóvil. tablero. Es más probable que los propietarios de automóviles en el sur de California tengan instalado el dispositivo debido a su popularidad entre los concesionarios de automóviles de la región, pero los investigadores de la UCSD advierten que han encontrado dispositivos instalados en vehículos en todo Estados Unidos e incluso en otros países.