Un fallo de seguridad en los sistemas de alarma de la empresa estadounidense Karr permite a cualquier persona en un radio de alcance Bluetooth desbloquear las puertas de un coche e incluso desactivar el encendido del motor. La vulnerabilidad, descubierta por investigadores de la Universidad de California en San Diego (UC San Diego), afecta a aproximadamente 2 millones de vehículos en Estados Unidos, muchos de cuyos propietarios ni siquiera saben que llevan ese hardware instalado.
El descubrimiento: cualquiera con Bluetooth puede desbloquear el coche
El equipo de UC San Diego demostró que, con el software adecuado y estando dentro del alcance Bluetooth del vehículo, un atacante puede enviar comandos para abrir las puertas o impedir que el motor arranque. La radio del sistema Karr permanece activa hasta 10 minutos después de apagar el contacto, lo que amplía la ventana de exposición en aparcamientos o calles. Los investigadores califican esta amenaza como «la peor» de piratería automotriz hasta la fecha.
Cómo funciona el sistema Karr y por qué afecta a tantos vehículos
Karr es un proveedor líder de alarmas opcionales en concesionarios. Su estrategia comercial explica la escala del problema: la empresa colabora con más de 3.000 concesionarios en todo el país, que instalan el dispositivo como medida de control de inventario antes de la venta. Cuando un cliente compra el coche, se le ofrece pagar una cuota periódica por las funciones de seguridad. Sin embargo, si el comprador rechaza el servicio, el hardware no siempre se retira; a menudo permanece en el vehículo, muchas veces sin que el propietario lo sepa. Basta con buscar las pegatinas ‘Karr’ o ‘SWDS’ en la ventanilla del conductor para identificarlo.
Esta práctica provoca que millones de coches circulen con un sistema de alarma potencialmente manipulable a través de Bluetooth, aunque el dueño nunca lo haya activado. La compañía ha defendido que la vulnerabilidad es «altamente compleja y de bajo riesgo en condiciones reales», pero tardó 18 meses en publicar un parche tras ser notificada por los investigadores.
Lo que los investigadores de California consideran «la peor amenaza de piratería automotriz» contrasta con la calma de la empresa, que habla de «bajo riesgo», mientras millones de coches siguen expuestos porque los concesionarios no retiran un hardware que el cliente nunca pidió.
La respuesta de Karr: un parche 18 meses después y el debate sobre la responsabilidad
Karr publicó una actualización de firmware que se puede instalar a tráves de una aplicación para teléfono móvil, gratuita incluso para quienes no son suscriptores. La compañía planea trabajar con los concesionarios para notificar a los propietarios afectados. No obstante, la demora de año y medio ha puesto en entredicho la seriedad de la respuesta. Expertos en ciberseguridad advierten que muchos automovilistas jamás recibirán la notificación ni sabrán que deben actualizar el sistema.
El incidente reabre un debate más amplio sobre la proliferación de dispositivos conectados en los automóviles modernos. En Estados Unidos, algunos estados están empezando a regular la retirada obligatoria de hardware no consentido tras la venta, pero no existe una normativa federal. La situación recuerda a otros fallos de seguridad documentados en flotas de vehículos conectados y en sistemas de telemática, donde la presencia de equipos no deseados convierte al conductor en un objetivo involuntario.
Lecciones para el conductor español: la ciberseguridad del coche conectado ya no es una opción
En España, el parque de vehículos con conectividad crece a un ritmo acelerado. Según datos del sector, uno de cada cuatro coches nuevos vendidos incorpora algún tipo de servicio telemático, y las matriculaciones 100 % eléctricas o con asistentes avanzados multiplican las interfaces inalámbricas. Aunque el caso Karr es específico del mercado estadounidense, la lógica del fallo es universal: cualquier sistema que un taller o concesionario instale sin pleno conocimiento del propietario puede convertirse en una puerta de entrada para ciberataques.
Los conductores españoles deben adquirir el hábito de preguntar en el concesionario qué hardware o software adicional viene instalado en su vehículo y exigir su retirada si no lo han solicitado. La legislación europea sobre ciberseguridad automotriz (normativa UNECE R155) obliga a los fabricantes a garantizar la seguridad desde el diseño, pero no cubre las prácticas de postventa de terceros. Por eso, el verdadero cambio debe venir de la concienciación del usuario y de una mayor transparencia por parte de la industria.
📌 Datos clave internacional
- La cifra a enmarcar: Aproximadamente 2 millones de vehículos en Estados Unidos equipados con el sistema de alarma Karr y potencialmente vulnerables.
- Consejo práctico: Si has comprado un coche de importación estadounidense o te planteas hacerlo, revisa la ventanilla del conductor en busca de la pegatina ‘Karr’ o ‘SWDS’. Descarga la aplicación oficial de Karr para actualizar el firmware, incluso si no eres suscriptor.
- Así te afecta: La investigación demuestra que ningún conductor está a salvo de dispositivos ocultos en su vehículo. En España, la conectividad avanza rápido, y proteger el coche de accesos no autorizados empieza por saber qué equipos lleva instalados.
