Vulnerabilità Bluetooth: 2,2 milioni di veicoli a rischio

Una vulnerabilità Bluetooth ha messo in allarme il settore automotive: circa 2,2 milioni di veicoli risultano potenzialmente esposti a un rischio di hijacking. Il problema riguarda moduli aftermarket installati dai concessionari, e ha riacceso il dibattito sulla sicurezza informatica delle auto connesse. In questo articolo analizziamo la natura tecnica del difetto, la sua portata, i possibili scenari di attacco e cosa possono fare i proprietari di veicoli per proteggersi.

Cos’è la vulnerabilità Bluetooth che minaccia 2,2 milioni di veicoli

Al centro della vicenda ci sono i moduli KARR / SWDS, distribuiti tramite Acrisure e installati da diversi concessionari come dispositivi aftermarket. Questi moduli comunicano tramite Bluetooth e sono pensati per funzioni come allarme, sblocco porte e gestione dell’avviamento del veicolo.

Il problema principale risiede nel provisioning debole e nell’uso di chiavi o secret condivisi tra più unità. In pratica, un aggressore che riesca a conoscere o replicare questa chiave può autenticarsi verso moduli installati su veicoli diversi, aprendo la strada a comandi non autorizzati.

• Nessuna segregazione adeguata dei privilegi tra il modulo aftermarket e l’elettronica critica del veicolo
• Attacco possibile solo in prossimità fisica, entro un raggio di circa 5 metri
• Nessuna evidenza pubblica di controllo su sterzo, freni o acceleratore

È importante sottolineare che, a differenza di altri exploit automotive più gravi, questa vulnerabilità non consente il controllo dinamico della guida. Il rischio riguarda soprattutto funzioni accessorie ma comunque delicate per la sicurezza e la privacy dei proprietari.

Quanti veicoli sono coinvolti e quali marchi

Le stime parlano di circa 2,2 milioni di veicoli interessati, con una forte concentrazione in California, dove questi moduli sono stati venduti a partire dal 2017. La diffusione, tuttavia, potrebbe estendersi ad altri Stati e mercati, a seconda della rete di concessionari e fornitori aftermarket coinvolti.

Tra i marchi citati dalle fonti giornalistiche figurano:

• Honda
• Toyota
• Mazda
• Ford
• Jeep

Va precisato che non esiste, al momento, un elenco pubblico e verificato di VIN o modelli specifici. Chi ha acquistato un’auto tramite concessionario, soprattutto in California, dovrebbe verificare direttamente se il proprio veicolo è equipaggiato con uno di questi moduli.

Come avviene l’attacco e quali sono i rischi concreti

L’attacco richiede una combinazione di fattori: vicinanza fisica al veicolo e la capacità di sfruttare la debolezza nel meccanismo di pairing Bluetooth. Ecco i principali vettori individuati dai ricercatori:

• Attacco di prossimità via Bluetooth/BLE sfruttando le chiavi condivise
• Ricognizione per identificare veicoli con moduli vulnerabili attivi
• Replay o impersonificazione se i messaggi scambiati non sono adeguatamente protetti

Le conseguenze pratiche per un veicolo colpito possono includere:

• Sblocco non autorizzato delle porte, con rischio di furto di oggetti personali
• Disattivazione dell’allarme o manipolazione di luci e clacson
• Blocco dell’avviamento del motore, con possibili situazioni di disagio o pericolo
• Esposizione di dati personali collegati al modulo, come rubrica telefonica o cronologia GPS

Come già accennato, non risultano evidenze che l’exploit permetta di intervenire sui sistemi di guida attiva del veicolo. Questo distingue il caso KARR da altri episodi ben più gravi nella storia della cybersecurity automotive.

Un confronto con i precedenti attacchi al settore automotive

Per capire la portata reale di questa vulnerabilità, è utile confrontarla con altri casi noti nel campo della sicurezza informatica dei veicoli:

• Miller & Valasek (2015): dimostrarono come una debole segmentazione tra infotainment e rete CAN potesse portare al controllo di centraline critiche. La lezione appresa riguarda l’importanza della segmentazione e della defense-in-depth.
• BlueBorne (2017): una vulnerabilità nello stack Bluetooth che permetteva l’esecuzione di codice da remoto su dispositivi generici, sottolineando quanto le implementazioni Bluetooth siano spesso sottovalutate.
• Attacchi relay su keyfob: hanno sfruttato debolezze nell’autenticazione basata sulla prossimità, dimostrando la fragilità di sistemi che si basano solo sulla vicinanza fisica.

Il caso KARR/SWDS si distingue per essere più simile a un problema di provisioning e gestione delle chiavi nell’ambito della componentistica aftermarket, piuttosto che un vero exploit RCE o una compromissione diretta delle centraline di guida. Questo evidenzia un rischio spesso sottovalutato: quello della supply chain e dei componenti installati dopo la vendita del veicolo.

La risposta dell’industria e il quadro normativo

Di fronte alla scoperta della vulnerabilità, KARR/Acrisure ha rilasciato un aggiornamento firmware nel luglio 2026, distribuito tramite l’app ufficiale e il supporto dei concessionari. Al momento non risulta un CVE pubblico ufficialmente associato al problema.

Sul piano normativo, il settore automotive fa riferimento a due standard fondamentali:

• ISO/SAE 21434: definisce i requisiti di gestione del rischio durante tutto il ciclo di vita del veicolo, inclusa la gestione delle vulnerabilità e degli obblighi per i fornitori terzi
• UNECE R155: impone ai costruttori l’adozione di un sistema di gestione della cybersecurity, con monitoraggio continuo delle minacce

Questo episodio mette in evidenza quanto sia importante che produttori e concessionari controllino attentamente l’integrazione di componenti aftermarket, garantendo al contempo canali sicuri per gli aggiornamenti firmware e il rispetto di pratiche di provisioning sicuro lungo tutta la catena di fornitura.

Cosa possono fare i consumatori per proteggersi

Chi possiede un veicolo potenzialmente coinvolto può adottare alcune misure concrete per limitare i rischi:

• Verificare con il proprio concessionario se è stato installato un modulo KARR/SWDS o simile, soprattutto per veicoli usati
• Controllare la documentazione dell’auto per eventuali riferimenti all’app KARR
• Installare immediatamente l’aggiornamento firmware ufficiale tramite l’app dedicata o rivolgendosi al dealer
• Evitare strumenti non ufficiali per l’aggiornamento del sistema
• Controllare fisicamente la chiusura di porte e finestrini, specialmente in parcheggi pubblici
• Non lasciare oggetti di valore o documenti visibili all’interno dell’abitacolo
• Disattivare le funzioni Bluetooth non necessarie quando non in uso
• Richiedere la rimozione del modulo aftermarket se non più necessario

Per chi sta per vendere o cedere il proprio veicolo, è consigliabile anche scollegare l’account infotainment e rimuovere dati sensibili come rubrica e cronologia di localizzazione.

Conclusione

Il caso della vulnerabilità Bluetooth che ha colpito 2,2 milioni di veicoli rappresenta un campanello d’allarme importante per l’intero ecosistema automotive. Sebbene non emergano rischi diretti per la sicurezza dinamica della guida, il problema evidenzia quanto sia critica la gestione della sicurezza nei componenti aftermarket installati dai concessionari.

La lezione principale riguarda la supply chain: non basta che i costruttori garantiscano standard elevati sui propri sistemi, è necessario che anche fornitori terzi e dealer adottino pratiche di provisioning sicuro e aggiornamenti tempestivi. Nel frattempo, per i proprietari di veicoli potenzialmente coinvolti, la parola d’ordine è prevenzione: verificare la presenza di moduli vulnerabili, installare gli aggiornamenti disponibili e adottare comportamenti prudenti per proteggere sia il proprio veicolo che i propri dati personali.