Ekstra tyverisikring gjør bilen lettere å stjele: 2,2 millioner biler har farlig Bluetooth-hull

Forskere ved University of California San Diego har avdekket at rundt 2,2 millioner kjøretøy i USA, Canada og Japan bærer et Bluetooth-hull som gjør det trivielt å låse opp dørene, tute og hindre motoren i å starte, opplyser universitetet. Hullet sitter ikke i selve bilen, men i en liten forhandlerinstallert boks fra selskapet Acrisure Protection Group, markedsført under navnene KARR Security System og SWDS.

Ironien er tykk: enheten er solgt som ekstra tyverisikring. I praksis har den gjort millioner av biler enklere å bryte seg inn i enn de var uten.

Angriperen trenger bare være innenfor rundt fem meters rekkevidde, ifølge forskerteamet. Derfra kan låsene åpnes, hornet tutes, lysene blinkes og startsperren aktiveres, alt fra en mobiltelefon uten fysisk kontakt med bilen.

Én nøkkel åpner alle biler

Selve svakheten er så enkel at den nesten er komisk. Alle KARR-enheter deler samme kryptografiske nøkkel for Bluetooth-autentisering. Knekker du én, har du knekt alle.

Les også: Musks Wikipedia-utfordrer virker død: Ikke én artikkel oppdatert siden april

Forskerne sammenlignet nøkkelen med å bruke «1234» som passord. Etter å ha reverse-engineert den offisielle KARR-appen kunne de bygge sin egen versjon som snakket direkte med hvilken som helst dongel. «Det gjorde i praksis at vi kunne lage vår egen versjon av appen og bruke den til å låse opp hvilken som helst bil», forklarte Nishant Bhaskar fra forskerteamet til KPBS.

Motoren kan ikke fjernstartes av angriperen, og ifølge UC San Diego kan startsperren heller ikke slås på mens bilen allerede er i bevegelse. Men står bilen parkert, kan en angriper både låse seg inn og hindre eieren i å starte den igjen.

Fem bilmerker og en klistremerke-test

De aller fleste rammede bilene er solgt hos forhandlere av Honda, Toyota, Mazda, Ford og Jeep i Sør-California siden 2017, ifølge UC San Diego. Feilen ligger ikke hos bilprodusentene, men hos den enkelte forhandleren som har trykket dongelen inn under dashbordet før overlevering, en praksis som er utbredt i USA og som mange kjøpere ikke er klar over at de har betalt for.

«Omtrent halvparten av dem som har den installert, vet ikke engang at de har den i bilen», sa Aaron Schulman, informatikkprofessor ved UC San Diego og seniorforsker på studien, til KPBS.

Les også: Farlig bakdør oppdaget i over 20 populære rutere: Hackere kan overta hele hjemmenettverket ditt

Sjekken er visuell: bilen har enten et KARR- eller SWDS-klistremerke på ruten på førersiden, og en liten blinkende knapp under dashbordet på førersiden, ifølge Popular Science. Selv om den største konsentrasjonen sitter i Sør-California, har flere hundretusen sårbare biler spredt seg videre til USA for øvrig, samt Canada og Japan via bruktbilmarkedet.

Patch er ute, men eieren må selv installere den

Acrisure ble varslet av forskerne i god tid før hullet ble offentliggjort. Fastvareoppdateringen som lukker det, ble sluppet 20. juli 2026.

Oppdateringen kommer ikke automatisk. Eieren må selv laste ned KARR Security-appen og kjøre den derfra. Aktive kunder logger inn og trykker seg gjennom oppdateringen; kunder uten aktivt abonnement kan installere den ved å oppgi de siste åtte sifrene i bilens VIN-nummer.

Å fjerne dongelen fysisk er ikke gjør-det-selv-arbeid. Enheten er integrert bak dashbordet på førersiden og krever verkstedhjelp for å ta ut.

Les også: Audi S6 er endelig tilbake: En bensinmodell det er enkelt å bli begeistret for

En av de største Bluetooth-svakhetene noensinne

Schulman legger ikke skjul på hvor omfattende problemet er. «Dette er en av de største svakhetene i en Bluetooth-enhet som noensinne har skjedd, målt i skala», sa han til KPBS.

Forskerteamet snublet over sporet for flere år siden, mens de undersøkte Bluetooth-signaturer knyttet til betalingsterminal-skimmere. Det tok flere år før de fikk kartlagt at det samme mønsteret pekte mot en enhet installert i millioner av biler.

De fullstendige tekniske detaljene legges frem på hackerkonferansen DEF CON i Las Vegas 9. august og på USENIX Security i Baltimore 12. august. Da vil også andre sikkerhetsforskere kunne granske funnene og potensielt lete etter beslektede feil i lignende dongler fra andre leverandører.

For eiere er rådet inntil videre enkelt: sjekk ruten for et KARR- eller SWDS-klistremerke, og hvis det er der, kjør oppdateringen fra appen snarest.

Les også: Kinesisk elbil-bølge skyver Tesla til side: Nå er hver tredje nye bil i Sveits elektrisk

Les også: Her er alle telefonene som får Android 17: Samsung, Pixel, Xiaomi, Motorola og mange flere