Widespread Security Vulnerabilities Found in Aftermarket KARR Car Alarms

Peneliti keamanan di Universitas California San Diego telah menemukan kelemahan signifikan pada Sistem Keamanan KARR, alarm mobil purnajual yang sering dipasang di dealer otomotif. Tim memperkirakan lebih dari 2 juta kendaraan yang saat ini berada di jalan dilengkapi dengan perangkat ini, banyak di antaranya dipasang tanpa permintaan atau sepengetahuan pemilik kendaraan. Karena sistem ini sering kali dihubungkan ke komponen elektronik sensitif pada mobil, kerentanan tersebut memberikan kemampuan kepada pelaku kejahatan untuk melakukan berbagai tindakan yang mengganggu. Peretas dalam jangkauan Bluetooth dapat memicu lampu dan klakson, membuka kunci pintu kendaraan, atau bahkan mencegah mesin menyala, sehingga secara efektif melumpuhkan kendaraan. Para peneliti menyoroti bahwa situasi ini sangat berbahaya karena banyak pemilik mobil tidak menyadari bahwa perangkat tersebut dipasang, sehingga mereka tidak dapat mengambil tindakan proaktif untuk mengamankan properti mereka.

Inti dari kerentanan keamanan terletak pada kunci otentikasi bersama yang digunakan di seluruh unit alarm KARR. Peneliti menemukan kunci universal ini tertanam dalam kode aplikasi resmi smartphone KARR. Dengan merekayasa balik aplikasi, tim UCSD dapat membuat perangkat lunak mereka sendiri yang mampu meniru perintah radio yang valid. Karena perangkat terus-menerus menyiarkan dan mendengarkan sinyal Bluetooth—bahkan ketika sistem alarm seolah-olah dinonaktifkan oleh pengguna—seorang peretas dapat dengan mudah memasangkan dengan sistem tersebut. Setelah diautentikasi, penyerang dapat mengeluarkan perintah untuk memanipulasi fitur kendaraan. Selain itu, perangkat tersebut tetap aktif selama kurang lebih sepuluh menit setelah kendaraan dimatikan, memberikan peluang bagi pencuri oportunistik untuk mencegat sinyal atau memicu sistem keamanan mobil untuk memudahkan masuk.

Jalan menuju remediasi masih panjang dan kontroversial. Para peneliti UCSD pertama kali mengungkapkan kerentanan kritis terhadap Acrisure Protection Group, perusahaan induk sistem KARR, pada bulan Januari 2025. Meskipun kelemahannya sangat parah, perusahaan memerlukan waktu sekitar 18 bulan untuk merilis pembaruan firmware. Acrisure Protection Group secara resmi meluncurkan perbaikan tersebut pada hari Senin sebelum tanggal pelaporan Juli 2026, sesaat sebelum para peneliti dijadwalkan untuk mempresentasikan temuan mereka di konferensi keamanan Defcon dan Usenix. Perusahaan menyatakan bahwa kerentanan tersebut memiliki risiko rendah dalam kondisi dunia nyata, sebuah klaim yang dibantah oleh para peneliti. Demonstrasi menunjukkan bahwa aplikasi sederhana dapat memungkinkan pengguna yang tidak berwenang membuka kunci mobil di lampu lalu lintas atau menyabotase armada kendaraan secara bersamaan, sehingga membuktikan potensi gangguan signifikan di dunia nyata.

Insiden ini menyoroti meningkatnya ketegangan antara aksesori purnajual yang dipasang di dealer dan keamanan siber kendaraan. Para ahli, termasuk Stefan Savage dari UCSD, menggambarkan hal ini sebagai ancaman unik yang berbahaya karena kerentanan sepenuhnya berada di luar kendali pabrikan utama, namun berdampak pada keselamatan arsitektur dasar kendaraan. Konsumen dihimbau untuk memeriksa perangkat keras KARR pada kendaraannya, yang dapat diidentifikasi melalui stiker jendela atau adanya tombol berkedip di bawah dasbor. Meskipun Acrisure mengklaim pihaknya memberi tahu pelanggan melalui aplikasi, situs web, dan saluran komunikasi dealer, perusahaan tersebut belum memberikan strategi yang jelas untuk menjangkau pemilik sekunder kendaraan ini yang mungkin sama sekali tidak mengetahui perangkat keras keamanannya. Kurangnya transparansi ini menggarisbawahi sulitnya mengelola siklus keamanan untuk komponen purnajual yang terfragmentasi dan diintegrasikan ke dalam kendaraan modern yang terkomputerisasi.