KARR, una vulnerabilidad de Bluetooth expone más de dos millones de sistemas antirrobo para vehículos

Comandos de radio sin autenticación visible

Investigadores de la University of California, San Diego, han identificado vulnerabilidades en KARR Security System, un sistema antirrobo posventa instalado, según sus estimaciones, en más de 2 millones de vehículos en Estados Unidos.

Un atacante situado lo bastante cerca del vehículo puede comunicarse con el dispositivo mediante Bluetooth y enviar comandos sin ser detectado. No se han atribuido los ataques a grupos o campañas concretas.

La investigación se hizo pública el 5 de agosto de 2026.

Desde el desbloqueo hasta la inmovilización del vehículo

Las funciones expuestas no se limitan a la alarma. Un atacante puede:

• desbloquear el vehículo de forma silenciosa;
• desactivar el sistema antirrobo;
• activar el claxon;
• hacer parpadear las luces;
• deshabilitar el encendido.

Esta última acción puede impedir que el conductor arranque o utilice el vehículo. El riesgo combina, por tanto, el acceso físico y lógico al vehículo, la neutralización de sus medidas de protección y una posible inmovilización.

No se han divulgado las versiones exactas de KARR Security System afectadas. Tampoco constan identificadores CVE ni una puntuación CVSS.

Cómo identificar los vehículos afectados

El indicador más evidente es la pegatina con el texto «KARR» colocada en la ventanilla del lado del conductor. Su presencia sugiere que conviene comprobar el estado del sistema y la posible disponibilidad de una actualización.

No se sabe si todos los dispositivos instalados comparten la misma configuración o son vulnerables de la misma forma.

La actualización del sistema como medida principal

Los propietarios deberían ponerse en contacto con KARR o con el instalador del sistema para solicitar la aplicación del parche en el dispositivo. El procedimiento de actualización se explica en la parte final del vídeo asociado a la investigación, a partir del minuto 19:10.

También se ha sugerido actualizar el firmware mediante una aplicación móvil, aunque este método no está confirmado como procedimiento oficial. Ante la ausencia de instrucciones verificadas, es preferible recurrir al fabricante o a un instalador autorizado.