KALIMANTAN TENGAH — Temuan tim peneliti UCSD ini pertama kali dipresentasikan di konferensi keamanan Usenix dan Defcon pada Agustus 2024 lalu. Mereka berhasil membalikkan aplikasi mobile KARR dan menulis kode sendiri untuk mengendalikan semua fungsi perangkat tersebut di kendaraan mana pun yang terpasang, termasuk unit yang sudah dimatikan oleh dealer.
Celah Bluetooth dan Satu Kunci untuk Semua
Akar masalahnya sederhana: KARR menggunakan kunci autentikasi yang identik di seluruh perangkatnya. Kunci itu tersimpan di dalam aplikasi resmi, sehingga siapa pun yang bisa mengekstraknya—seperti para peneliti—dapat mengirim perintah Bluetooth ke mobil yang dipasangi KARR. Koneksi Bluetooth juga tetap terbuka meskipun perangkat dalam status tidak aktif.
Sistem KARR dipasang oleh dealer-dealer di California Selatan sejak 2017, terutama pada mobil Honda, Toyota, Mazda, Ford, dan Jeep. Bila pembeli menolak fitur tambahan ini, dealer tidak mencabut perangkatnya—hanya menonaktifkan secara virtual. Umumnya mobil lalu dijual kembali ke pasar bekas, sehingga kendaraan dengan KARR tersebar hingga Kanada dan Jepang. Ciri fisiknya adalah stiker bertuliskan "KARR" atau "SWDS" di kaca samping pengemudi.
Demonstrasi Risiko: Buka Kunci Hingga Chaos
Dalam demonstrasi yang disaksikan langsung oleh jurnalis Wired, peneliti menunjukkan mereka bisa membuka pintu mobil dari jarak dekat hanya dengan menekan tombol di aplikasi Android buatan sendiri. Fungsi "mayhem" yang mereka buat bahkan bisa meretas sekelompok mobil secara bersamaan untuk membunyikan klakson dan lampu secara berulang. “Bayangkan di lampu merah, pintu mobil Anda tiba-tiba terbuka,” ujar salah satu peneliti.
Meskipun KARR tidak bisa menyalakan mesin—ia hanya bisa mengimobilisasi—membuka pintu sudah cukup berbahaya. Begitu masuk, pencuri bisa mengakses port diagnostik OBD-II di dalam kabin dan memprogram kunci fob baru untuk menyalakan mesin dan membawa kabur mobil.
Respon Produsen: Update Firmware Setelah 18 Bulan
Acrisure Protection Group, perusahaan induk yang menjual KARR melalui anak usahanya SouthWest Dealer Services, menanggapi temuan ini sebagai "risiko rendah" di dunia nyata. Mereka mengaku telah merilis pembaruan firmware yang bisa diunduh lewat aplikasi KARR, baik untuk perangkat aktif maupun non-aktif. Namun, rilis itu baru keluar 18 bulan setelah peneliti melaporkan temuan mereka pada Januari 2023.
Jeda waktu yang panjang ini memicu kritik. “Jika perusahaan yang menjual alat anti-maling tidak serius menangani keamanan, konsumen jadi taruhannya,” tulis Wired. Kini pemilik mobil dengan stiker KARR disarankan segera memeriksa dan memperbarui firmware melalui aplikasi resmi untuk menutup celah yang sudah terpapar di forum hacker dunia.
