Cualquiera dentro del rango de Bluetooth puede desbloquear coches, apagar motores a través de alarmas que los propietarios pueden nunca haber pagado.

      VM/Getty Stock

      

      

      

      

      

      

       Las noticias y reseñas de autos más importantes, sin tonterías

      

      

       Nuestra newsletter diaria gratuita envía las historias que realmente importan directamente a ti, todos los días de la semana.

      

      

      

      Muchos concesionarios ofrecen alarmas opcionales como un complemento cuando compras un vehículo de ellos. Una empresa llamada Karr vende tales sistemas y es líder en este espacio, con su tecnología instalada en aproximadamente 2 millones de vehículos en los EE. UU. Sin embargo, no todos los propietarios pueden estar al tanto de que su vehículo tiene una alarma Karr para empezar, y eso es porque algunos concesionarios realmente las instalan y las dejan allí, ya sea que los compradores elijan pagar por sus capacidades o no.

      Ese es un problema, ya que los investigadores de UC San Diego acaban de descubrir una vulnerabilidad en el sistema de Karr que podría permitir a actores malintencionados enviar comandos por Bluetooth para desbloquear puertas de automóviles, desactivar el encendido y habilitar todo tipo de otros caos.

      Afortunadamente, este es uno de esos casos en los que los expertos en seguridad ya han notificado a Karr, y Karr ha lanzado una actualización para corregir el descuido, según Wired. Esto se puede instalar a través de una aplicación complementaria para teléfonos inteligentes que cualquiera puede descargar, ya sea que sean suscriptores de pago o no. Si caes en este último grupo, como estoy seguro de que la mayoría de nosotros lo hacemos, puedes preguntarte cómo determinar si tu auto tiene equipo Karr en él. Resulta que esos vehículos tienen calcomanías que dicen “Karr” o “SWDS” en sus ventanas del lado del conductor, aunque si tienes sospechas, no está de más preguntar a tu concesionario.

      Si crees a Karr, esta vulnerabilidad no es motivo de preocupación, y la empresa tiene la intención de trabajar con los concesionarios para notificar a los propietarios de vehículos afectados. “La vulnerabilidad descrita en la investigación de [UCSD] es altamente compleja y presenta un bajo riesgo para los clientes en condiciones del mundo real”, dijo un portavoz de la firma a Wired. “Sin embargo, respondimos rápidamente y desarrollamos una actualización de firmware para abordar el problema.” (“Rápidamente”, en este caso, está haciendo un gran esfuerzo, ya que aparentemente tomó 18 meses a la empresa emitir este parche.)

      Una captura de pantalla del sitio web de Karr, mostrando las características de sus sistemas de alarma. Karr Security Systems

      El único problema con ese tono calmado es que los investigadores, francamente, no están de acuerdo con él. Un profesor de UCSD llamó a esto “probablemente la peor” amenaza de hackeo de autos hasta la fecha. Estos expertos también demostraron a Wired lo fácil que es interferir con un vehículo equipado con Karr que aún no tiene instalada la nueva actualización, siempre que el hacker tenga el software adecuado.

      Los vehículos con alarma Karr no solo son susceptibles a estas amenazas mientras están en funcionamiento; la radio Bluetooth del sistema permanece encendida durante 10 minutos después de que se apaga el automóvil, lo que amplía la ventana para posibles problemas.

      La razón por la que el hardware de Karr está presente en muchos más autos de los que realmente se utilizan es que algunos de los más de 3,000 concesionarios en todo el país con los que trabaja la empresa incorporan la tecnología como una medida de prevención de pérdidas. Antes de la venta, cuando los autos aún están en el lote, los concesionarios pueden rastrear su inventario utilizando los sistemas de Karr. Luego, en el momento de la venta, los concesionarios ofrecerán a los clientes la opción de pagar una tarifa regular para beneficiarse de esa seguridad ellos mismos. Pero si se niegan, la alarma no necesariamente se retira; los clientes pueden tener que solicitarlo, y aun así, no todos los concesionarios van a honrar esa solicitud sin complicar las cosas.

      Parte de esto es otro síntoma de la propiedad moderna de automóviles conectados. Pero a diferencia del fenómeno SignalTrace o Flock que hemos estado cubriendo extensamente (y, desafortunadamente, de primera mano) últimamente, este problema parece tener una solución de sentido común: exigir legalmente que los concesionarios deben retirar alarmas como estas de sus autos cuando se venden, a menos que ese cliente haya consentido y quiera pagar por ese monitoreo en el futuro. El potencial para que actores malintencionados exploten hardware innecesario que nunca debió estar en el automóvil en primer lugar es demasiado grande como para dejarlo allí, y los concesionarios en cuestión necesitan entender que están poniendo a todos en riesgo a menos que tomen este tipo de cosas en serio.

      ¿Tienes un consejo? Comunícate a tips@thedrive.com