Muchos concesionarios ofrecen alarmas opcionales como complemento cuando compras un vehículo. Una empresa llamada Karr fabrica este tipo de sistemas y es líder en este segmento, con su tecnología instalada en aproximadamente 2 millones de vehículos en Estados Unidos. Sin embargo, no todos los dueños pueden saber desde un inicio que su auto tiene una alarma de Karr, y esto es porque algunos concesionarios la instalan y la dejan instalada, ya sea que los compradores decidan pagar por sus funciones o no.
Eso es un problema, ya que investigadores de la UC San Diego acaban de descubrir una vulnerabilidad en el sistema de Karr que podría permitir a actores malintencionados enviar comandos por Bluetooth para abrir las puertas, desactivar el encendido y provocar todo tipo de caos adicional.
Afortunadamente, este es uno de esos casos en los que los expertos en seguridad ya notificado a Karr, y la empresa ha lanzado una actualización para corregir el fallo, según Wired. Esta puede instalarse a través de una aplicación para teléfono inteligente complementaria que cualquiera puede descargar, ya sea que seas suscriptor pagado o no. Si te encuentras en este último grupo, como seguramente la mayoría, quizá te preguntes cómo saber si tu coche tiene equipo de Karr. Resulta que estos vehículos llevan pegatinas que dicen “Karr” o “SWDS” en las ventanillas del lado del conductor; sin embargo, si sospechas, no está de más preguntar a tu concesionario.
Si confías en Karr, esta vulnerabilidad no es motivo de preocupación, y la empresa pretende colaborar con los concesionarios para notificar a los propietarios de los vehículos afectados. “La vulnerabilidad descrita en la investigación de UCSD es altamente compleja y presenta un riesgo bajo para los clientes en condiciones reales”, dijo a Wired un portavoz de la firma. “No obstante, respondimos de forma rápida y desarrollamos una actualización de firmware para abordar el problema.” (“Rápidamente”, en este caso, es un eufemismo, ya que aparentemente tomó 18 meses para que la empresa emita este parche.)
El único problema con ese tono sereno es que, francamente, los investigadores no están de acuerdo. Un profesor de UCSD calificó esto como la “probablemente peor” amenaza de hacking de automóviles hasta la fecha. Estos expertos también demostraron a Wired lo fácil que es fastidiar un vehículo equipado con Karr que aún no tiene la actualización nueva instalada, siempre y cuando el hacker tenga el software adecuado.
Los vehículos con alarma Karr no sólo están expuestos a estas amenazas mientras están en funcionamiento; la radio Bluetooth del sistema permanece encendida durante 10 minutos después de apagar el coche, lo que amplía la ventana de problemas potenciales.
La razón por la que el hardware de Karr está presente en muchos más autos de los que realmente se utilizan es que algunos de los más de 3,000 concesionarios a lo largo del país con los que la empresa trabaja lo incorporan como una medida de prevención de pérdidas. Antes de la venta, cuando los autos aún están en el lote, los concesionarios pueden rastrear su inventario usando los sistemas de Karr. Luego, en el momento de la venta, ofrecen a los clientes la opción de pagar una cuota regular para beneficiarse de esa seguridad. Pero si se niegan, la alarma no se elimina necesariamente; es posible que los clientes tengan que solicitarla y, aun así, no todos los concesionarios atenderán esa solicitud sin hacer la vida difícil.
Parte de esto es, otra vez, una manifestación de la propiedad de autos conectados en la actualidad. Pero a diferencia del fenómeno SignalTrace o Flock que hemos estado cubriendo ampliamente (y, desafortunadamente, de primera mano) últimamente, este problema parece tener una solución de sentido común: establecer por ley que los concesionarios deben retirar alarmas como estas de sus coches cuando se venden, a menos que ese cliente haya dado su consentimiento y desee pagar por ese monitoreo a partir de entonces. El riesgo de que actores malintencionados exploten hardware sobrante que en primer lugar nunca tuvo que estar en el coche es demasiado grande como para dejarlo así, y los concesionarios en cuestión deben entender que están poniendo a todos en riesgo si no toman este tipo de problemas en serio.
¿Tienes una pista? Comunícate a tips@thedrive.com
