Wyobraź sobie, że ktoś staje kilka metrów od twojego samochodu, wyjmuje telefon i otwiera drzwi — bez klucza, bez wybijania szyby, bez śladów włamania. Właśnie taki scenariusz opisali 24 lipca 2026 roku badacze z Uniwersytetu Kalifornijskiego w San Diego. Odkryli poważną lukę w popularnych, montowanych przez salony dealerskie alarmach samochodowych KARR oraz modułach SWDS produkowanych przez firmę Acrisure. Według szacunków podatnych jest co najmniej 2,2 miliona pojazdów sprzedanych od 2017 roku.
Jeden klucz do wszystkich aut
Sedno problemu jest zaskakująco banalne. Każde urządzenie KARR-SWDS używa tego samego klucza kryptograficznego do uwierzytelniania połączenia Bluetooth. Badacze rozłożyli system na części, odtworzyli ten wspólny klucz i od tego momentu byli w stanie uwierzytelnić się wobec dowolnego podatnego modułu — z odległości około pięciu metrów. To projektowy grzech pierworodny: jeśli sekret jest wspólny dla milionów urządzeń, wystarczy złamać jeden egzemplarz, by otworzyć wszystkie pozostałe.
Napastnik w zasięgu Bluetooth może odblokować drzwi, mrugać światłami, uruchamiać klakson i zablokować rozruch silnika. Sama luka nie pozwala co prawda odpalić auta i odjechać, ale otwarcie drzwi drastycznie obniża próg wejścia dla złodzieja — reszta to już kwestia prostych, znanych metod kradzieży.
Kierowcy często nie wiedzą, że mają to w aucie
Najbardziej niepokojący jest fakt, że wielu właścicieli w ogóle nie ma pojęcia o istnieniu tego sprzętu w swoim samochodzie. Moduły montowano w salonach jeszcze przed sprzedażą — do zarządzania flotą pojazdów na placu — a potem oferowano klientom jako opcjonalny system antykradzieżowy i sterowanie z telefonu. Co gorsza, badacze ustalili, że moduł Bluetooth pozostaje aktywny nawet wtedy, gdy klient zrezygnował z zakupu tej opcji. Sprzęt siedzi cicho w desce rozdzielczej i nasłuchuje.
Auta pierwotnie trafiały głównie do salonów Hondy, Toyoty, Mazdy, Forda i Jeepa w południowej Kalifornii, ale przez lata odsprzedaży rozjechały się po całych Stanach, Kanadzie i Japonii. Rozpoznasz je po naklejce „KARR” lub „SWDS” na szybie od strony kierowcy. Do kompletu badacze odkryli, że publicznie dostępne bazy danych zdradzały lokalizację części tych pojazdów — atakujący mógł więc najpierw namierzyć cel, a dopiero potem podejść.
Co możesz zrobić
Producent, firma Acrisure, wydał 20 lipca 2026 aktualizację oprogramowania, która usuwa lukę. Jeżeli na twojej szybie widnieje naklejka KARR lub SWDS, zainstaluj poprawkę przez aplikację mobilną KARR — to najprostsza droga, bo fizyczne wymontowanie modułu wymaga rozbierania deski rozdzielczej i ingerencji w instalację połączoną z zapłonem.
Warto też wyciągnąć ogólniejsze wnioski. Po pierwsze, sprawdzaj, jakie „dodatki” zamontowano w aucie kupowanym w salonie czy na rynku wtórnym — nie każdy nadajnik działa na twoją korzyść. Po drugie, w miarę możliwości ograniczaj Bluetooth i łączność bezprzewodową w urządzeniach, których na co dzień nie używasz. Po trzecie, stary dobry mechaniczny zabezpieczacz na kierownicę wciąż potrafi zniechęcić złodzieja, którego elektronika już wpuściła do środka.
Podsumowanie
Ta historia to modelowy przykład, jak „inteligentny” gadżet mający chronić samochód sam staje się jego najsłabszym ogniwem. Wspólny klucz dla milionów urządzeń, moduł działający wbrew woli klienta i baza zdradzająca lokalizację — każdy z tych błędów z osobna jest poważny, a razem tworzą gotowy przepis na kradzież. Jeśli jeździsz autem z naklejką KARR lub SWDS, nie czekaj: zaktualizuj oprogramowanie, zanim ktoś w zasięgu Bluetooth zrobi to za ciebie.
źródło: https://cyberinsider.com/bluetooth-flaw-exposes-2-2-million-cars-to-unlocking-attacks/