米カリフォルニア大学サンディエゴ校（UC San Diego）の研究チームが、ディーラーが取り付ける盗難防止装置の脆弱性を発見し、少なくとも220万台の車がBluetooth経由の遠隔操作でドアを解錠されたり、エンジンの始動を妨害されたりする恐れがあると2026年7月21日に発表した。装置を製造するAcrisureは同年7月20日、脆弱性を修正するファームウェア更新を公開している。
脆弱な車両の大半は、2017年以降に南カリフォルニアのホンダ・トヨタ・マツダ・フォード・ジープの各販売店で購入されたものだ。中古車として転売されるため、米国全土やカナダ、日本にも数十万台規模で存在するとみられる。運転席側の窓に「KARR」または「SWDS」のステッカーが貼られている車は該当する可能性が高いという。
問題の装置は、ディーラーが在庫管理や盗難防止のために取り付けるスマートフォンアプリ連動型で、ダッシュボード下部に設置されBluetoothで車とアプリをつなぐ。ドアの施錠・解錠やホーン、ヘッドライトの点滅に加え、走行前であればエンジンの始動を妨げる機能も持つ。ディーラーは購入者に有料オプションとして提案するが、購入者が断っても装置自体は車両に残り、動作し続ける。
研究チームによると、同系統の装置はすべて同一の暗号鍵を使っており、1つを解読すれば同型の装置を積む車すべてにアクセスできてしまう構造だという。攻撃者は車から約4.6メートル離れた場所からBluetooth経由でドアを解錠でき、その後は錠前業者が使うような工具で始動・走行が可能になるとしている。研究チームは、脆弱性の再現につながる解析手法の詳細は公表せず、Acrisureや米国家道路交通安全局（NHTSA）には事前に開示済みとしている。同様の装置を手がける別会社Rockledge製品についても脆弱性の可能性を確認したが、攻撃には運転手の操作を近くで傍受する必要があり難易度は高いという。同社への開示に対する回答はまだないとしている。
チームは、ディーラーの点検記録が残らないケースもあるため、装置を物理的に取り外すのは配線の再接続を伴う難しい作業になるとした上で、根本的な対策にはファームウェア更新が必要だと説明する。将来的な再発防止策としては、車内のボタン操作など物理的な確認を挟まない限り新しいスマートフォンとの接続を許可しない設計を提案している。研究チームは2026年8月9日のDEF CON、8月12日のUSENIX Securityで解析結果を詳しく発表する予定だ。