KARR, vulnerabilità Bluetooth espone oltre due milioni di antifurti automobilistici

Comandi radio senza autenticazione visibile

Ricercatori della University of California, San Diego hanno individuato vulnerabilità nel KARR Security System, un antifurto aftermarket installato, secondo le loro stime, su oltre 2 milioni di veicoli negli Stati Uniti.

Un aggressore sufficientemente vicino all’auto può comunicare con il dispositivo tramite Bluetooth e inviare comandi senza essere rilevato. Non sono stati associati attacchi a gruppi o campagne specifiche.

La ricerca è stata resa pubblica il 5 agosto 2026.

Dallo sblocco all’immobilizzazione del veicolo

Le funzioni esposte non riguardano soltanto l’allarme. Un attaccante può:

• sbloccare silenziosamente il veicolo;
• disattivare l’antifurto;
• attivare il clacson;
• far lampeggiare le luci;
• disabilitare l’accensione.

Quest’ultima azione può impedire al conducente di avviare o utilizzare l’auto. Il rischio combina quindi accesso fisico-logico al veicolo, neutralizzazione della protezione e possibile immobilizzazione.

Le versioni esatte del KARR Security System coinvolte non sono state rese note. Non risultano inoltre identificativi CVE o un punteggio CVSS.

Come riconoscere i veicoli interessati

L’indicatore più immediato è l’adesivo “KARR” applicato sul finestrino lato conducente. La sua presenza suggerisce di verificare lo stato del sistema e l’eventuale disponibilità di un aggiornamento.

Non è noto se tutti i dispositivi installati abbiano la stessa configurazione o siano vulnerabili nello stesso modo.

Aggiornamento del sistema come misura principale

I proprietari dovrebbero contattare KARR o l’installatore del sistema per richiedere l’applicazione della patch del dispositivo. Una procedura di aggiornamento è illustrata nella parte finale del video collegato alla ricerca, dal minuto 19:10.

È stato anche suggerito un aggiornamento del firmware tramite applicazione mobile, ma questa modalità non è confermata come procedura ufficiale. In assenza di istruzioni verificate, è preferibile affidarsi al produttore o a un installatore autorizzato.