Milioane de mașini expuse riscului de furt din cauza unui dispozitiv hackabil prin Bluetooth
Dispozitivele anti-furt, precum imobilizatoarele de motor, au contribuit la reducerea furturilor de automobile, Ford având chiar o caracteristică avansată numită Start Inhibit, care blochează pornirea de la distanță.
Cu toate acestea, furtul de vehicule rămâne o problemă semnificativă, mai ales că hoții găsesc constant metode noi și mai inteligente de a pătrunde în mașini.
Un studiu recent realizat de Universitatea din California San Diego a relevat că cel puțin 2,2 milioane de vehicule ar putea fi mai vulnerabile la furt din cauza unui dispozitiv anti-furt instalat de dealeri. Aceștia au descoperit că un atacator aflat în raza de acoperire Bluetooth ar putea conecta și debloca ușile vehiculelor afectate. Proprietarii pot identifica aceste dispozitive căutând cuvintele „KARR” sau „SWDS” pe fereastra din partea șoferului.
Toate dispozitivele KARR-SWDS se bazează, se pare, pe aceeași cheie de autentificare, ceea ce explică de ce milioane de vehicule sunt afectate. Majoritatea au fost instalate de dealeri din sudul Californiei, dar proprietarii din alte zone ar trebui să fie atenți, deoarece vehiculele afectate au fost revândute în Statele Unite, Canada și chiar Japonia.
Majoritatea vehiculelor afectate au fost achiziționate de la dealeri Honda, Toyota, Mazda, Ford și Jeep din sudul Californiei, începând din 2017. Cercetătorii nu au dezvăluit complet modul în care au realizat atacurile pentru a preveni replicarea lor de către hoți.
Acrisure, compania care produce dispozitivele KARR-SWDS, a lansat o actualizare de firmware pentru a aborda vulnerabilitatea pe 20 iulie. Proprietarii trebuie să instaleze actualizarea prin intermediul aplicației KARR. Dispozitive similare fabricate de Rockledge ar putea fi, de asemenea, vulnerabile, deși se raportează că acestea sunt mai greu de atacat. Cercetătorii nu au putut valida aceste informații, deoarece Rockledge nu a răspuns la divulgarea lor.
Dealerii instalează de obicei aceste dispozitive pentru a gestiona inventariile și a preveni furtul înainte de a le comercializa clienților ca upgrade-uri plătite cu conectivitate prin smartphone. Chiar și atunci când un cumpărător refuză upgrade-ul, dispozitivul poate rămâne activ și vulnerabil. Prin urmare, proprietarii sunt sfătuiți să verifice vehiculele pentru brandurile „KARR” sau „SWDS” și să instaleze actualizarea pentru a reduce riscul de furt.
Tehnologia vehiculelor conectate s-a confruntat, de asemenea, cu un control juridic, având în vedere o acțiune în instanță propusă, care susține că Toyota a colectat și distribuit datele șoferilor fără consimțământul acestora.
Aceasta nu înseamnă că astfel de dispozitive sunt inerent defectuoase. Ele pot oferi în continuare beneficii, precum alerte de securitate în timp real, recuperarea GPS a vehiculelor furate și controale prin smartphone. Totuși, studiul arată că producătorii ar putea necesita măsuri de securitate mai stricte pentru a preveni exploatarea acestor caracteristici de către atacatori.
Cercetătorii vor împărtăși mai multe detalii la DEF CON în Las Vegas pe 9 august și la Simpozionul de Securitate USENIX în Baltimore, Maryland, pe 12 august.
