Un gruppo di ricercatori dell’Università della California a San Diego, coordinato dal professor Aaron Schulman, ha individuato una grave falla di sicurezza nei sistemi antifurto KARR. Il difetto mette a rischio almeno 2,2 milioni di veicoli attualmente su strada.
I dispositivi incriminati sono moduli aftermarket distribuiti da Acrisure e installati direttamente dalle concessionarie negli ultimi dieci anni, in particolare dal 2017 a oggi. La segnalazione iniziale risale a gennaio 2025, ma la portata del problema è emersa con i test dettagliati condotti dagli esperti di sicurezza.
Una chiave di accesso identica per tutti i dispositivi
Il difetto strutturale risiede nella gestione delle credenziali di autenticazione. Ogni unità KARR condivide la medesima chiave di accesso crittografica, conservata in chiaro all’interno dell’applicazione per smartphone associata al servizio.
Secondo le analisi tecniche citate anche da Malwarebytes, recuperare questo codice una singola volta consente di inviare comandi a qualsiasi automobile dotata di un modulo KARR prodotto dopo il 2017. L’architettura del software non prevede una separazione crittografica univoca tra i diversi esemplari installati.
Cosa rischia chi si trova a cinque metri dall’auto
L’intrusione avviene via Bluetooth a corto raggio, operando a una distanza massima di circa cinque metri. Questo raggio d’azione è sufficiente per intercettare i veicoli fermi ai semafori, nei parcheggi pubblici, nei garage condominiali o nei piazzali di rivendita.
Auto grigia in sosta mentre una persona utilizza uno smartphone nelle immediate vicinanze.
Sfruttando la vulnerabilità, un malintenzionato può aprire e chiudere le portiere, attivare l’immobilizzatore del motore per impedire l’avviamento ed estrarre i dati relativi alla posizione per tracciare gli spostamenti. Nonostante non risultino finora attacchi di massa coordinati, la semplicità di esecuzione rende la minaccia immediata.
Il nodo delle auto usate e i limiti dell’aggiornamento
I dispositivi sono stati venduti in origine principalmente dalle reti commerciali di Honda, Toyota, Mazda, Ford e Jeep nel sud della California. Nel corso degli anni, centinaia di migliaia di queste vetture sono passate di mano, finendo nel mercato dell’usato in altri Stati americani, in Canada e in Giappone.
Acrisure ha rilasciato una patch correttiva del firmware il 20 luglio 2026, ben diciotto mesi dopo la prima notifica confidenziale dei ricercatori. Il rimedio, però, fatica a raggiungere i destinatari.
L’aggiornamento viene distribuito tramite l’app KARR, utilizzata quasi esclusivamente da chi mantiene un abbonamento attivo con l’azienda. Chi ha acquistato l’auto di seconda mano spesso ignora persino la presenza del dispositivo a bordo, lasciando oltre la metà dei 2,2 milioni di veicoli privi di protezione.
