ある車載アラームベンダーのコーディングミスにより、数百万台もの車両が盗難や位置追跡の脅威にさらされていることがわかりました。ディーラーによる車載アラームの販売方式のせいで、多くの対象ドライバーは自分の車に装置が搭載されていることすら知りません。
問題の装置は、Acrisure Protection Groupが製造するBluetooth対応の後付けアラーム「KARR Security System」です。主に南カリフォルニアのHonda、Toyota、Mazda、Ford、Jeepの各ディーラーで取り付けられています。
後付けの車載アラームは、自動車業界の中でも奇妙な一角を占めています。ディーラーは購入者が車を目にする前にこれを取り付け、その後でサブスクリプションの契約を勧めてきます。加入を断っても、ハードウェア自体はそのまま車に残ります。カリフォルニア大学サンディエゴ校（UC San Diego）の研究者らによると、KARRシステムは米国内の約220万台の車両に搭載されており、所有者の約半数は自分の車にこれが取り付けられていることすら知らないといいます。
コンピュータサイエンス学の教授Aaron Schulman氏が率いる研究チームがこのシステムを調査し、約10年に及ぶ設置期間を通じて繰り返されてきた、たった一つの設計上の欠陥を突き止めました。
すべてのKARR装置は同一の認証キーを共有しており、そのキーはKARRのスマートフォンアプリ内にプレーンテキストで保存されています。このキーを一度抽出してしまえば、2017年以降に製造されたKARR搭載車両であればどれとでも通信が可能になります。研究者らはまさにこれを実証してみせました。
この攻撃で実際にできてしまうこと
対象車両からおよそ5ヤード（約4.6メートル）以内に立つだけで、研究者らが作成した概念実証（PoC）ツールを使う攻撃者は車両を解錠でき、さらにはイグニッションを無効化することさえ可能で、ドライバーを立ち往生させる恐れもあります。外部から見て分かる兆候は、コマンド送信時に短いビープ音とライトの点滅が起きるだけです。所有者には一切通知が届きません。
位置追跡に関する問題は、むしろこちらの方が深刻だと言えるかもしれません。KARRのユニットはBluetooth識別子を常時発信し続けているため、WiGLEのようなクラウドソース型の無線データベースが、何年にもわたってその位置情報を記録し続けてきました。ある装置の識別子をWiGLEに入力すれば、その車がどこに駐車されてきたかを示す地図を作り上げることができてしまいます。ストーカーにとってはまさに理想的な仕組みです。研究者らはさらに、複数の駐車中の車両のクラクションとライトを一斉に作動させる「mayhem（大混乱）」モードも実演してみせました。
有料サービスへの加入を断り、ハードウェアは動作していないはずだと思い込んでいた所有者らも、実は誤解していました。研究者らによると、休止状態のユニットであっても、単一のBluetoothウェイクアップコマンドを受け取るだけで、同じ機能が露呈してしまうといいます。
18ヶ月間、そして迫るカンファレンスの締め切り
UC San DiegoはこのバグをAcrisureに2025年1月に開示しましたが、ファームウェアの修正が届いたのは2026年7月20日になってから――およそ18ヶ月後のことであり、しかも研究チームが来月開催されるDEF CONハッカーカンファレンスで調査結果を発表する予定だったわずか数週間前というタイミングでした。Acrisureは公には、実際のリスクは低いとの見解を示しています。
これを、昨年開示された同種のコネクテッドカーの欠陥に対するSubaruの対応と比較してみましょう。研究者らは、Subaruの「Starlink」管理者ポータルにおいて、ナンバープレートと所有者の姓またはメールアドレスさえ分かれば、誰でもどんな車でも乗っ取れてしまうことを発見しました。そこから先はドアを解錠しエンジンを始動させることもできますし、誤差5メートル以内の精度を誇る1年分の位置履歴を掘り起こすことすらできてしまいます。
この根本的な問題は、安全性の低いパスワードリセットのエンドポイントと、二要素認証（2FA）の回避に対する脆弱な保護にありました。Subaruはこの問題を24時間以内に修正しました。
対象ユーザーの半数には修正が届かない
ここで厄介なのは、パッチがKARRの提携アプリを通じて配信されるという点です。このアプリは、有料顧客だけがこれまでダウンロードしてきたものです。研究者らの推計では、この装置が搭載された車両の所有者のうち少なくとも半数はそもそも加入を希望しておらず、つまりアプリを起動したりファームウェアを更新したりする可能性はほとんどないということになります。およそ100万人もの人々が、その存在すら知らないものにパッチを当てることはできないのです。これには、中古市場でKARR搭載車両を購入した多くの人々も含まれます。
自分の車を確認する方法
運転席側の窓にKARRのステッカーが貼られていないか、あるいはSouthWest Dealer Services（Acrisureの子会社）を示す「SWDS」というステッカーがないか確認してください。Wiredによれば、次にダッシュボードの下側を確認し、点滅するライト付きの小さなボタンがないか探してみてください。もし見つかった場合は、たとえ自分がアラームに加入した覚えがまったくなかったとしても、KARRアプリをダウンロードしてファームウェアの更新を適用してください。
