Morten Lyhne Petersen
Et eftermonteret alarmsystem, som forhandlere har installeret i mere end 2,2 millioner biler, kan overtages af enhver, der står tæt nok på med en mobiltelefon.
Forskere fra University of California, San Diego har fundet en sårbarhed i alarm-modulerne KARR og SWDS, som gør det muligt at låse dørene op, slå alarmen fra og forhindre motoren i at starte, helt uden fysisk kontakt med bilen. Angrebet fungerer på op til cirka fem meters afstand og kræver ingen adgangskode eller nøgle, oplyser UC San Diego i deres offentliggørelse af studiet.
Enhederne er masse-installeret af bilforhandlere i Sydcalifornien siden 2017, primært hos forhandlere af Honda, Toyota, Mazda, Ford og Jeep. Fordi mange af bilerne er blevet solgt videre, findes de nu i hele USA, Canada og Japan.
Én nøgle åbner alle biler
Kernen i problemet er, at alle KARR- og SWDS-enheder deler den samme kryptografiske nøgle til Bluetooth-autentificering. Forskerne reverse-engineerede den officielle KARR-app, hvor de fandt den fælles nøgle, og byggede en Android-app, der kunne udgive sig for at være en legitim bruger, beskriver Cyber Insider.
En angriber inden for rækkevidde kan derefter låse dørene op, aktivere hornet, blinke med lygterne og slå startspærren til.
Enhederne holder desuden Bluetooth-radioen aktiv i op til 10 minutter efter, at bilen er slukket, hvilket giver et længere angrebsvindue end forventet.
“I stedet for at knuse en rude for at komme ind i bilen kan tyven bare koble sig på via Bluetooth til enheden inde i bilen og få den til at låse dørene op,” siger Jerry Yu, medforfatter og master-studerende ved UC San Diego, ifølge universitetet.
18 måneders vente på en opdatering
Forskerne kontaktede producenten Acrisure Protection Group i januar 2025, men en firmware-opdatering blev først frigivet den 20. juli 2026, altså efter halvandet års venten. Opdateringen kommer ikke automatisk. Ejeren skal selv hente KARR Security-appen, forbinde den til bilen og installere den nye firmware.
Acrisure har beskrevet angrebet som komplekst og lavrisiko, men forskerne fastholder, at det bliver ligetil, når nøglen først er kendt, og at teknikken derfor er skalerbar.
Stefan Savage, professor i datalogi ved samme universitet, kalder ifølge Popular Science det for “sandsynligvis det værste” bil-hack, han har set.
Sådan tjekker du, om din bil er ramt
Systemerne er primært distribueret via amerikanske forhandlere, så danske bilejere med biler købt i Danmark er som udgangspunkt ikke direkte berørt. Har man importeret en brugt bil fra USA, Canada eller Japan efter 2017, kan risikoen dog være reel.
Ifølge Popular Science kan man kende enhederne på et lille klistermærke med teksten “KARR” eller “SWDS” på førersidens rude, eller på en lille enhed med en blinkende knap under instrumentbrættet. Har man én af dem, er rådet fra forskerne at installere KARR-appen og hente den nye firmware med det samme.
At fjerne enhederne på egen hånd frarådes. “At fjerne enhederne er ikke lige til. Man skal skille instrumentbrættet ad og klippe og genforbinde ledninger,” siger medforfatter Yibo Wei ifølge UC San Diego.
Forskerne præsenterer det fulde studie på sikkerhedskonferencen DEF CON i Las Vegas den 9. august og på USENIX Security i Baltimore den 12. august.
