A segnalarla, nel luglio 2026, è stato un gruppo di ricercatori dell’Università della California a San Diego, guidato dal professor Aaron Schulman. Il problema riguarda dispositivi aftermarket installati soprattutto negli Stati Uniti negli ultimi dieci anni, spesso direttamente in concessionaria.
La vulnerabilità era stata comunicata ad Acrisure già nel gennaio 2025 e, secondo i test, può essere usata tramite Bluetooth a breve distanza. Non si parla di pochi casi isolati: per i ricercatori, almeno 2,2 milioni di veicoli in circolazione potrebbero essere esposti.
Il guaio, spiegano gli esperti citati anche da Malwarebytes, sta nel modo in cui i dispositivi KARR gestiscono l’accesso. Ogni unità userebbe la stessa chiave di accesso, salvata in chiaro dentro l’app per smartphone legata al servizio. Tradotto: se quella chiave viene recuperata una volta, può servire per parlare con qualunque auto dotata di un sistema KARR prodotto dal 2017 in poi.
È questo il punto più delicato. Una debolezza che nasce nel software finisce per riguardare una quantità enorme di veicoli. “Estraendola una sola volta, è possibile comunicare con qualsiasi veicolo dotato di KARR”, hanno spiegato gli analisti di Malwarebytes. Detta senza tecnicismi: il sistema non separa abbastanza un’auto dall’altra.
Bluetooth a cinque metri: cosa può fare chi si avvicina all’auto
Dai test emerge che la vulnerabilità Bluetooth può essere usata solo da vicino, a circa cinque metri. Pochi, ma abbastanza per agire in un parcheggio, davanti a casa, in un garage o nel piazzale di una concessionaria. Secondo la ricostruzione dei ricercatori, un aggressore potrebbe bloccare e sbloccare le portiere, intervenire sull’immobilizzazione del motore e, in alcuni casi, raccogliere informazioni utili al tracciamento del veicolo.
Al momento non risultano campagne pubbliche di attacchi su larga scala legate a questa falla. Il rischio, però, resta concreto proprio perché la comunicazione avviene a corto raggio e in modo relativamente semplice. Cinque metri sembrano pochi. Ma bastano, se l’auto è ferma al semaforo, in un box condominiale o in un centro commerciale.
Honda, Toyota e non solo: il rischio corre anche sull’usato
La maggior parte dei veicoli coinvolti sarebbe stata venduta tramite concessionarie Honda, Toyota, Mazda, Ford e Jeep nel sud della California dal 2017 a oggi. In molti casi, i sistemi KARR venivano proposti come antifurti aggiuntivi al momento dell’acquisto. Il problema, però, non resta confinato lì.
Diverse auto sono poi finite nel mercato dell’usato, spostandosi in altri Stati americani, in Canada e, secondo le indicazioni raccolte dai ricercatori, anche in Giappone. Questo rende molto più complicato avvisare tutti i proprietari.
Chi guida oggi quella macchina potrebbe non sapere nemmeno di avere a bordo un dispositivo KARR. “L’ho comprata usata, non mi hanno detto nulla dell’antifurto”: è il tipo di risposta che, in casi del genere, i tecnici sentono spesso. E il nodo è proprio questo: tra concessionaria, primo acquirente e proprietari successivi, la catena delle informazioni si rompe facilmente.
Patch dopo 18 mesi, ma molti automobilisti potrebbero restare scoperti
I ricercatori dell’Università della California a San Diego dicono di aver segnalato la falla ad Acrisure nel gennaio 2025. La patch firmware, invece, sarebbe arrivata solo il 20 luglio 2026, circa diciotto mesi dopo. La correzione dunque c’è, ma potrebbe non arrivare a tutti. Secondo le stime degli studiosi, meno della metà delle auto vulnerabili potrebbe riceverla, perché l’aggiornamento passa dall’app KARR, usata soprattutto dai clienti paganti e da chi ha ancora un rapporto attivo con il servizio.
Molti proprietari, soprattutto chi ha comprato l’auto di seconda mano, rischiano quindi di non installarla mai. Acrisure, in base a quanto riportato, ha messo a disposizione l’aggiornamento per chi può riceverlo tramite applicazione. Resta però aperto il problema dei veicoli fuori da quel circuito. Per chi teme di essere coinvolto, la cosa più semplice è verificare con la concessionaria o con l’assistenza se sull’auto sia presente un antifurto KARR e se il firmware sia stato aggiornato. Una telefonata, in questo caso, può evitare più di un guaio.
