Các nhà nghiên cứu tại Đại học California, San Diego (Mỹ) vừa phát hiện lỗ hổng bảo mật nghiêm trọng trên hệ thống an ninh xe hơi KARR và SWDS do Acrisure sản xuất. Lỗ hổng này ảnh hưởng đến 2,2 triệu chiếc ô tô được bán ra từ năm 2017, cho phép kẻ tấn công mở khóa cửa và kiểm soát một số tính năng trên xe chỉ qua kết nối Bluetooth từ xa.
Thiết bị chống trộm trở thành công cụ hỗ trợ trộm xe
Thiết bị KARR và SWDS vốn được các đại lý lắp đặt trên xe mới như một hệ thống chống trộm và định vị. Tuy nhiên, các nhà nghiên cứu phát hiện tất cả thiết bị này đều sử dụng chung một khóa bảo mật duy nhất, khiến việc xâm nhập trở nên dễ dàng. Đáng chú ý, cơ sở dữ liệu chứa thông tin của toàn bộ phương tiện lắp thiết bị này cũng bị phát hiện nằm công khai trên mạng.
Các dòng xe bị ảnh hưởng thuộc những thương hiệu phổ biến như Honda, Toyota, Mazda, Ford và Jeep, có dán nhãn KARR-SWDS trên cửa kính. Phát hiện này biến một thiết bị chống trộm thành công cụ tiếp tay cho kẻ gian tiếp cận xe dễ dàng.
Nguy cơ lan rộng và giải pháp khắc phục
Ngay cả khi chủ xe không trả phí sử dụng ứng dụng KARR, phần cứng đã lắp sẵn vẫn duy trì kết nối Bluetooth và giữ nguyên quyền can thiệp vào xe. Người dùng không thể tự đổi khóa bảo mật hay tắt Bluetooth, trong khi việc tháo bỏ thiết bị đòi hỏi phải can thiệp phức tạp vào hệ thống điện. Kẻ xấu nhờ đó có thể mở khóa cửa xe từ xa mà không cần phá cửa kính.
Các phương tiện dính lỗ hổng ban đầu được bán ra tại vùng Nam California, nhưng hiện có thể đã di chuyển khắp nước Mỹ hoặc xuất sang Nhật Bản. Phía nhà sản xuất KARR đã chính thức ghi nhận thông tin và tung ra bản cập nhật phần mềm để vá lỗi.
Đại diện KARR cho biết: “Chỉ những xe lắp đặt một số linh kiện Bluetooth nhất định mới chịu ảnh hưởng bởi sự cố này. Bản cập nhật firmware mới sẽ giúp khóa lỗ hổng bảo mật và ngăn chặn nguy cơ xâm nhập từ xa.” Chủ sở hữu các dòng xe nằm trong diện ảnh hưởng được khuyến nghị cập nhật phần mềm sớm để bảo vệ tài sản.
