Falha Crítica em Alarme Automotivo KARR Expõe 2,2 Milhões de Veículos a Ameaças de Acesso e Rastreamento

A vulnerabilidade no sistema de alarme KARR é técnica e alarmante. Pesquisadores da UC San Diego descobriram que a raiz do problema é uma chave de autenticação Bluetooth universal. Esta chave, exposta no aplicativo oficial do alarme, permite que qualquer pessoa com conhecimento técnico (e um aplicativo modificado) envie comandos aos 2,2 milhões de veículos equipados. A falha abre portas para destravamento, imobilização ou ativação remota de recursos, tudo dentro do alcance do Bluetooth.

O desafio aumenta porque o KARR é um sistema de segurança de terceiros, instalado por concessionárias após a fabricação do veículo. Isso o coloca fora do radar de segurança usual das montadoras. A ausência de um processo padronizado de remoção do equipamento, mesmo quando o cliente não opta pelo serviço, significa que milhões de dispositivos vulneráveis permanecem ativos. Eles transmitem sinais Bluetooth e podem ser ativados por um atacante, mesmo em estado "desativado", por até dez minutos após o carro ser desligado.

Este caso destaca uma falha grave na cadeia de suprimentos da segurança automotiva. Montadoras investem pesado em sistemas embarcados, mas a presença de hardware de terceiros sem o mesmo rigor de segurança cria um vetor de ataque perigoso. Além do risco de invasão física para furto, a vulnerabilidade KARR também levanta sérias preocupações com a privacidade. O sistema transmite um sinal Bluetooth identificável que, combinado a bases de dados como WiGLE, permite rastrear o histórico de localização de veículos.

Essa não é a primeira vez que o CEVIU News cobre riscos de rastreamento veicular. Em março de 2026, noticiamos como sensores de pneus expõem dados de localização. Em julho de 2026, abordamos o uso de leitores de placas com IA que, embora promissores, carecem de salvaguardas robustas e levantam alertas de vigilância. O incidente KARR reforça a necessidade urgente de uma visão holística sobre a segurança veicular. É preciso exigir transparência sobre todos os componentes conectados. Fabricantes e concessionárias devem assumir a responsabilidade pela segurança e remoção de equipamentos de terceiros.