概要
米国の複数のディーラーがホンダ、トヨタ、マツダ、フォード、ジープなどの新車に後付けしてきたAcrisure Protection Group製の盗難防止アラーム「KARR Security System」に、Bluetooth認証まわりの重大な脆弱性が見つかった。UC San Diegoのコンピュータ科学教授Aaron Schulman氏らの研究チームによると、対象は約220万台の米国車両に上り、しかもオーナーの約半数はこの装置が自分の車に取り付けられていることすら認識していないという。研究チームは2025年1月にAcrisureへ脆弱性を報告したが、ファームウェア修正が提供されたのは2026年7月20日で、報告から実に18か月が経過していた。詳細はDEF CONでも発表される予定である。
技術的な詳細
問題の核心は認証設計そのものにある。KARRのすべてのデバイスが同一の認証鍵を共有しており、しかもその鍵は専用アプリ内にプレーンテキストのまま保存されていた。そのため、1台からこの鍵を抜き出すだけで、2017年以降に出荷されたすべてのKARR搭載車両と通信できてしまう。攻撃者は車両からおよそ5ヤード(約4.5メートル)以内に近づけば、ドアの解錠やイグニッションの無効化を遠隔で行うことが可能だった。さらにKARRユニットはBluetooth識別子を常時発信し続けるため、WiGLEのようなクラウドソース型の無線データベースにその位置情報が記録され、車両の移動履歴を第三者が追跡できる状態になっていた。加えて、複数台の対象車両のアラームとライトを同時に誤作動させ、駐車場を混乱させるような攻撃も理論上可能だったという。
修正対応とその限界
Acrisureは今回のファームウェア修正をKARRの純正アプリを通じて配信している。しかし記事は、この装置の存在を把握しているのは有料契約者に限られ、残り半数のオーナーはアプリ自体をダウンロードしていないため、推計で約100万人のユーザーが実質的にパッチを適用できないままになる可能性を指摘している。比較として、同様の接続車両の脆弱性を指摘されたSubaruは、報告からわずか24時間で修正を行った事例が紹介されており、Acrisureの対応の遅さと修正の実効性の低さが際立つ結果となっている。
利用者への注意喚起
自分の車が対象かどうかを確認する方法として、運転席側の窓に貼られたKARRやSWDS(Southwest Dealer Services)のステッカーの有無、およびダッシュボード下部にある点滅ボタンの確認が挙げられている。該当する場合は速やかに専用アプリをダウンロードし、ファームウェアを最新版に更新することが推奨される。今回のケースは、ディーラー取付型のアフターマーケット機器が持つセキュリティ管理の甘さと、装置の存在自体をオーナーが認識していないことによるパッチ適用率の低さという、コネクテッドカー特有のリスクを改めて浮き彫りにしている。