Peneliti dari University of California, San Diego menemukan kerentanan Bluetooth pada sistem keamanan KARR yang terpasang di lebih dari 2,2 juta kendaraan, memungkinkan penyerang dalam jangkauan Bluetooth untuk membuka kunci, mengunci, atau mematikan alarm kendaraan.
APA YANG TERJADI?
KARR Security System adalah perangkat aftermarket yang dipasang oleh dealer untuk mengamankan kendaraan di lot mereka. Dalam banyak kasus, hardware tetap terpasang bahkan setelah pembeli menolak layanan alarm KARR berbayar. Karena merupakan peralatan pihak ketiga, produsen mobil tidak dapat mengirimkan perbaikan melalui proses update software standar mereka. Peneliti menemukan bahwa penyerang dalam jangkauan Bluetooth dapat mengunci atau membuka kendaraan, menonaktifkan alarm, mengaktifkan klakson, menyalakan lampu, atau mencegah kendaraan yang diparkir untuk dinyalakan. Namun, mereka mengonfirmasi bahwa flaw ini tidak dapat menyalakan kendaraan dari jarak jauh atau mengendalikannya saat berkendara. Perusahaan Acrisure Protection Group, yang menjual KARR Security System, merilis update firmware pada 20 Juli 2026 setelah peneliti mengungkapkan masalah secara pribadi sejak Januari 2025. Pemilik dapat mengidentifikasi sistem dengan memeriksa stiker KARR atau SWDS pada jendela pengemudi atau tombol berkedip di bawah dasbor.
DETAIL TEKNIS
Peneliti menemukan kunci autentikasi universal yang tertanam dalam aplikasi smartphone resmi saat melakukan reverse engineering komunikasi Bluetooth. Menggunakan aplikasi proof-of-concept Android, mereka berhasil membuka kendaraan, menonaktifkan fungsi alarm KARR, dan memicu klakson serta lampu. Unit yang dinonaktifkan terus memancarkan sinyal Bluetooth saat kendaraan berjalan dan hingga 10 menit setelah dimatikan. Menggunakan database WiGLE wireless, peneliti memperkirakan setidaknya 2,2 juta sistem yang dilengkapi Bluetooth telah dideploy dan mendeteksi 97 kendaraan yang dilengkapi KARR selama perjalanan 20 menit di dekat kampus UC San Diego. Acrisure menggambarkan serangan sebagai highly complex dan mengatakan risiko dunia nyata rendah. Baik UC San Diego maupun Wired tidak menemukan bukti bahwa kriminal telah mengeksploitasi kerentanan ini. Patch dirilis sebelum presentasi yang dijadwalkan di DEF CON pada 9 Agustus dan USENIX Security Symposium pada 12 Agustus.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki populasi kendaraan yang sangat besar, dengan banyak kendaraan baru yang dilengkapi sistem keamanan aftermarket oleh dealer. Meskipun KARR Security System secara spesifik dipasang di dealer Amerika Serikat, konsep kerentanan Bluetooth pada perangkat IoT otomotif sangat relevan. Banyak kendaraan dan sistem pelacakan GPS aftermarket di Indonesia yang menggunakan Bluetooth dengan konfigurasi keamanan minimal atau kunci default yang dapat ditebak. Selain itu, sinyal Bluetooth yang memancarkan identitas kendaraan dapat digunakan untuk pelacakan lokasi, sebuah masalah privasi yang signifikan di negara dengan kepadatan penduduk tinggi. Adopsi perangkat smart vehicle yang terhubung terus meningkat, namun kesadaran akan keamanan firmware dan update patch pada sistem aftermarket masih sangat rendah di kalangan konsumen maupun dealer.
REKOMENDASI MITIGASI
Pemilik kendaraan harus memeriksa apakah kendaraan mereka berisi KARR Security System, menginstal firmware terbaru menggunakan aplikasi iPhone atau Android, dan menghubungi dealer atau dukungan KARR jika tidak dapat menyelesaikan update. Untuk perangkat aftermarket umum, selalu ubah kunci autentikasi default, nonaktifkan fitur Bluetooth jika tidak diperlukan, dan pastikan firmware dapat diperbarui. Dealer harus menginformasikan pembeli tentang perangkat aftermarket yang terpasang dan memberikan instruksi untuk update keamanan. Produsen perangkat IoT otomotif harus mengimplementasikan autentikasi Bluetooth yang kuat dengan kunci unik per perangkat, bukan kunci universal. Pantau sinyal Bluetooth anomali di sekitar area parkir dan pertimbangkan penggunaan faraday pouch untuk kunci mobil smart key jika tidak digunakan.
Analisa Retasan
Kerentanan KARR Security System adalah contoh klasik dari permasalahan keamanan IoT pada sektor otomotif: hardware pihak ketiga yang dipasang di titik penjualan, seringkali tanpa pengetahuan pemilik, dengan siklus hidup yang tidak terintegrasi dengan mekanisme update keamanan kendaraan utama. Fakta bahwa setidaknya separuh pemilik terdampak tidak pernah meminta sistem ini menunjukkan bahwa banyak kendaraan membawa beban attack surface tambahan yang tidak disadari oleh pengguna. Kunci autentikasi universal yang tertanam dalam aplikasi smartphone adalah anti-pattern keamanan yang telah ditinggalkan bertahun-tahun yang lalu di sektor lain, namun masih ditemukan pada perangkat IoT yang dikembangkan tanpa security-by-design.
Dari perspektif teknis, kerentanan ini menunjukkan bahwa Bluetooth Low Energy, meskipun memiliki jarak yang relatif pendek, masih merupakan vektor serangan yang signifikan untuk perangkat yang tidak diamankan dengan benar. Penyerang dalam jangkauan fisik beberapa meter dapat mengkompromikan keamanan kendaraan tanpa perlu alat khusus yang mahal. Meskipun Acrisure menilai serangan sebagai highly complex, proof-of-concept yang dibangun oleh peneliti UC San Diego menunjukkan bahwa dengan reverse engineering yang tepat, eksploitasi dapat direproduksi. Ini adalah peringatan bahwa kompleksitas serangan sering kali overrated dan barrier to entry lebih rendah dari yang diperkirakan vendor.
Bagi Indonesia, kasus ini harus menjadi perhatian bagi regulator otomotif dan keamanan siber nasional. Banyak sistem pelacakan dan keamanan kendaraan aftermarket yang digunakan di Indonesia tidak memiliki mekanisme update firmware, menggunakan password default, dan tidak diaudit keamanannya. Tanpa standar keamanan minimum untuk perangkat IoT otomotif yang dipasang pasca-produksi, konsumen Indonesia terus berisiko terhadap serangan serupa yang dapat mengkompromisi keselamatan fisik dan privasi. Kerangka regulasi seperti SNI untuk keamanan perangkat IoT yang terhubung perlu diperluas untuk mencakup perangkat aftermarket otomotif.
Sumber: The Cyber Express
