Investigadores de la Universidad de California en San Diego descubrieron que el sistema de seguridad KARR, instalado en más de dos millones de vehículos, contiene una vulnerabilidad crítica que permite a usuarios no autorizados desbloquear puertas o desactivar el encendido de forma remota. El fabricante lanzó una actualización de firmware para corregir la falla después de un retraso de 18 meses en el desarrollo.
El alcance de la falla de seguridad
Investigadores de seguridad de la Universidad de California en San Diego han descubierto una falla significativa en el sistema de seguridad KARR, una alarma de automóvil no original que a menudo instalan los concesionarios de automóviles. El equipo estima que más de 2 millones de vehículos actualmente en circulación están equipados con estos dispositivos, muchos de los cuales fueron instalados sin la petición expresa o el conocimiento del propietario del vehículo. Debido a que estos sistemas frecuentemente están conectados a componentes electrónicos sensibles del automóvil, la vulnerabilidad otorga a los delincuentes la capacidad de realizar una variedad de acciones intrusivas. Los piratas informáticos dentro del alcance de Bluetooth pueden activar luces y bocinas, desbloquear puertas de vehículos o incluso impedir que el motor arranque, paralizando efectivamente el vehículo. Los investigadores destacaron que esta situación es particularmente peligrosa porque muchos propietarios de automóviles ni siquiera saben que el dispositivo está instalado, lo que les impide tomar medidas proactivas para proteger su propiedad.
Análisis técnico de la causa raíz
El núcleo de la vulnerabilidad de seguridad radica en una clave de autenticación compartida utilizada en todas las unidades de alarma de KARR. Los investigadores descubrieron esta clave universal integrada en el código de la aplicación oficial para teléfonos inteligentes de KARR. Al aplicar ingeniería inversa a la aplicación, el equipo de UCSD pudo crear su propio software capaz de imitar comandos de radio válidos. Debido a que los dispositivos transmiten y escuchan continuamente señales de Bluetooth, incluso cuando el usuario aparentemente desactiva el sistema de alarma, un pirata informático puede emparejarse fácilmente con el sistema. Una vez autenticado, el atacante puede emitir comandos para manipular las funciones del vehículo. Además, los dispositivos permanecen activos durante aproximadamente diez minutos después de que se apaga el vehículo, lo que brinda una ventana de oportunidad para que los ladrones oportunistas intercepten señales o activen los sistemas de seguridad del automóvil para facilitar la entrada.
Cronograma de divulgación y parches
El camino hacia la remediación ha sido largo y polémico. Los investigadores de UCSD revelaron por primera vez la vulnerabilidad crítica a Acrisure Protection Group, la empresa matriz del sistema KARR, en enero de 2025. A pesar de la gravedad de la falla, la empresa tardó aproximadamente 18 meses en lanzar una actualización de firmware. Acrisure Protection Group lanzó oficialmente la solución el lunes anterior a la fecha del informe de julio de 2026, poco antes de que los investigadores presentaran sus hallazgos en las conferencias de seguridad Defcon y Usenix. La empresa sostiene que la vulnerabilidad presenta un riesgo bajo en condiciones del mundo real, afirmación que los investigadores cuestionan. Las demostraciones demostraron que una aplicación simple podría permitir a un usuario no autorizado desbloquear un automóvil en un semáforo o sabotear una flota de vehículos simultáneamente, lo que demuestra el potencial de una perturbación significativa en el mundo real.
Implicaciones de la industria y conciencia del consumidor
Este incidente pone de relieve una tensión creciente entre los accesorios del mercado de accesorios instalados en los concesionarios y la ciberseguridad de los vehículos. Los expertos, incluido Stefan Savage de UCSD, han descrito esto como una amenaza singularmente peligrosa porque la vulnerabilidad existe completamente fuera del control del fabricante principal, pero afecta la seguridad de la arquitectura subyacente del vehículo. Se anima a los consumidores a revisar sus vehículos en busca de hardware KARR, identificado por pegatinas en las ventanas o la presencia de un botón parpadeante debajo del tablero. Si bien Acrisure afirma que está notificando a los clientes a través de su aplicación, sitio web y canales de comunicación del concesionario, la compañía no ha proporcionado una estrategia clara para llegar a los propietarios secundarios de estos vehículos que pueden desconocer por completo el hardware de seguridad. Esta falta de transparencia subraya la dificultad de gestionar el ciclo de vida de la seguridad de los componentes fragmentados del mercado de accesorios que se integran en los vehículos computarizados modernos.
⚖ The Balanced View
Supporting view
Acrisure Protection Group afirmó que la vulnerabilidad es muy compleja y representa un riesgo bajo para los usuarios, y señaló que respondieron desarrollando una actualización de firmware para proteger a los clientes.
Concerns & criticism
Los investigadores y expertos en seguridad de la UCSD enfatizan que el retraso de 18 meses en la aplicación de parches, combinado con la clave de autenticación universal, crea una amenaza grave y absoluta para millones de conductores desprevenidos.
→What's next
Los propietarios de vehículos afectados deben descargar la aplicación KARR Security para iniciar manualmente el proceso de actualización del firmware. Se espera que los investigadores de seguridad compartan detalles técnicos más extensos durante sus próximas presentaciones en las conferencias Defcon y Usenix.