Imagina que tu coche tiene un dispositivo oculto que permite a cualquier persona con un teléfono desbloquearlo, desactivar su motor o incluso rastrear su ubicación. Y lo peor: probablemente no sabes que está ahí. Esa es la realidad de millones de conductores en Estados Unidos, según un equipo de investigadores de la Universidad de California San Diego (UCSD).

El culpable es el KARR Security System, una alarma de posventa con Bluetooth fabricada por Acrisure Protection Group. Los concesionarios la instalan en los vehículos antes de la venta, y aunque el comprador rechace pagar por ella, el hardware se queda en el coche. Los investigadores estiman que hay más de 2 millones de estos dispositivos en circulación, y aproximadamente la mitad de los propietarios ni siquiera saben que lo tienen.

Una llave maestra para millones de vehículos

El equipo de UCSD, liderado por el profesor de informática Aaron Schulman, descubrió que todos los dispositivos KARR comparten una misma clave de autenticación, almacenada en texto plano dentro de la aplicación oficial para smartphones. Extraer esa clave permite a cualquiera enviar comandos por Bluetooth a cualquier vehículo equipado con el sistema, independientemente del año de fabricación.

Las consecuencias van desde el robo hasta el sabotaje. Con una app casera, los investigadores demostraron que un atacante situado a unos cinco metros del coche puede desbloquear las puertas, desactivar el encendido, hacer sonar la bocina o encender las luces, e incluso activar un modo «caos» que afecta a varios coches a la vez. Además, los dispositivos KARR emiten identificadores Bluetooth de forma continua, lo que permite rastrear la ubicación de los vehículos a través de bases de datos colaborativas como WiGLE.

18 meses para un parche

UCSD notificó la vulnerabilidad a Acrisure en enero de 2025, pero la compañía tardó cerca de 18 meses en lanzar una actualización de firmware, que llegó el 20 de julio de 2026, apenas unas semanas antes de que los investigadores presentaran sus hallazgos en las conferencias Defcon y Usenix.

En un comunicado, Acrisure declaró:

«La vulnerabilidad descrita en la investigación es muy compleja y presenta un riesgo bajo para los clientes en condiciones reales. No obstante, respondimos con prontitud y desarrollamos una actualización de firmware para solucionar el problema.»

¿Cómo saber si tu coche está afectado?

Los investigadores recomiendan buscar un adhesivo con el logotipo de KARR o las siglas SWDS (SouthWest Dealer Services) en la ventanilla del conductor. También hay que revisar debajo del salpicadero: si hay un pequeño botón con una luz parpadeante, es probable que el dispositivo esté instalado.

Si se encuentra, hay que descargar la aplicación KARR Security (disponible en Android y iOS), conectarla al dispositivo y buscar la opción de actualización de firmware. El problema es que la app solo la tienen quienes pagaron por la alarma, dejando fuera a la mayoría de los afectados.

«Este es un sistema añadido por los concesionarios y, desafortunadamente, tiene una vulnerabilidad grave que permite a cualquiera acceder a estos coches», explicó Aaron Schulman. «Estamos intentando difundir el mensaje para que la gente revise su coche y aplique el parche ahora».

«Probablemente la peor amenaza de hacking en coches»

Stefan Savage, otro profesor de UCSD que no participó en el estudio pero que lideró el primer equipo en hackear la dirección y los frenos de un coche en 2010, calificó el fallo como «probablemente la peor amenaza de hacking en coches jamás descubierta».

Savage señaló que el problema afecta a un gran número de vehículos, el fabricante del coche no puede repararlo y el propietario ni siquiera sabe que existe. «Proporciona todos los elementos que un ladrón de coches querría, pero no tienes ninguna de las ventajas que normalmente tenemos para defenderlo, porque estás desconectado de la cadena de suministro que lo puso allí».

Los investigadores demostraron la gravedad del asunto con un simple paseo en coche por los alrededores del campus de UCSD: en solo 20 minutos, su aplicación detectó 97 vehículos con el dispositivo KARR vulnerable.

El parche ya está disponible, pero solo si sabes que lo necesitas. Los investigadores presentarán sus hallazgos en las conferencias Defcon y Usenix el próximo mes.