À medida que os carros modernos evoluem para verdadeiros computadores sobre rodas, pesando várias toneladas, os motoristas começam a perceber que também precisam instalar atualizações de segurança no código dos veículos, assim como fazem com um celular ou um notebook.
Mas nem mesmo os proprietários mais familiarizados com tecnologia imaginariam que precisariam aplicar um patch em um componente de terceiros inseguro, que nunca instalaram nem solicitaram e talvez nem saibam que existe, mas que foi integrado a alguns dos sistemas mais sensíveis do carro.
O resultado é uma exposição a hackers discretos, rastreamento e até mesmo à paralisação do veículo na estrada.
Essa foi a descoberta preocupante de uma equipe de pesquisadores de segurança da UC San Diego.
Eles identificaram que um modelo de alarme automotivo instalado depois da fabricação, conhecido como KARR Security System, presente em mais de 2 milhões de veículos nos Estados Unidos, segundo a estimativa do grupo, permite que qualquer hacker dentro do alcance do Bluetooth envie comandos por rádio para destravar o carro silenciosamente, desligar o alarme, buzinar ou piscar as luzes e até desativar a ignição, deixando o motorista impedido de seguir viagem.
Os dispositivos de alarme KARR costumam ser instalados por concessionárias, e não por fabricantes ou proprietários, como uma medida para reduzir furtos nos pátios de venda.
No entanto, quando os carros são vendidos, os alarmes normalmente não são removidos, mesmo quando o comprador recusa pagar por esse recurso adicional.
Isso significa que motoristas em todo os Estados Unidos acabam com um dispositivo vulnerável sob o capô, cuja programação precisará ser atualizada para proteger o veículo, mas que, em muitos casos, nunca foi comprado e sequer é conhecido pelo dono.
Segundo a estimativa da UCSD, o KARR Security System foi integrado aos sistemas críticos de mais de 2 milhões de veículos, todos eles precisando do patch para se proteger de técnicas de hacking capazes de rastrear, destravar e imobilizar carros.
Foto: Cortesia de David Baillot/University of California San Diego
“É um sistema adicionado aos carros pelas concessionárias e, infelizmente, ele tem uma vulnerabilidade grave que permite a qualquer pessoa obter acesso a qualquer um desses veículos”, afirma Aaron Schulman, professor de ciência da computação da UCSD que liderou a pesquisa.
“Ele foi criado para tornar os carros mais seguros, mas acabou gerando uma falha que precisa ser corrigida imediatamente em milhões de veículos.
Estamos tentando divulgar isso para que as pessoas verifiquem se o carro tem esse dispositivo e apliquem o patch manualmente agora.”
A empresa que comercializa o KARR Security System, a Acrisure Protection Group, lançou na segunda-feira uma atualização de firmware para a versão Bluetooth vulnerável do alarme instalado depois da fabricação, com o objetivo de corrigir os problemas de segurança identificados pela UCSD.
Segundo a equipe, os proprietários que já têm o aplicativo KARR Security para smartphone devem receber um alerta sobre a atualização de firmware.
Quem ainda não o instalou precisará baixar o aplicativo KARR Security System para Android ou iOS, conectá-lo ao alarme KARR do veículo e, em seguida, tocar em “customer service” e “firmware update”.
Como pelo menos metade dos proprietários que têm o dispositivo KARR instalado não pediu que ele fosse colocado em seus veículos, segundo a estimativa da UCSD, é possível verificar se o carro tem o equipamento observando um adesivo KARR no vidro lateral do motorista ou, em alguns casos, um adesivo com a sigla “SWDS”, da SouthWest Dealer Services, subsidiária da Acrisure Protection Group.
Outro indício é um pequeno botão com uma luz piscando, preso na parte inferior do painel.
Os proprietários de carros no sul da Califórnia têm maior probabilidade de encontrar o dispositivo instalado, devido à sua popularidade entre as concessionárias da região.
Ainda assim, os pesquisadores da UCSD alertam que encontraram esses dispositivos em veículos de todo os Estados Unidos e até em outros países.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...