Rentan Diretas via Bluetooth, 2,2 Juta Mobil di California Terancam

Telset.id – Sekitar 2,2 juta kendaraan di California, Amerika Serikat, terancam mengalami serangan siber melalui celah keamanan pada sistem anti-pencurian yang dipasang oleh dealer. Kerentanan ini memungkinkan penyerang mengendalikan kunci pintu, klakson, hingga lampu mobil hanya melalui koneksi Bluetooth.

Temuan ini diumumkan oleh peneliti dari University of California San Diego (UCSD). Mereka menemukan bahwa sistem keamanan bermerek KARR dan SWDS yang diproduksi oleh perusahaan Acrisure memiliki kelemahan kritis. Semua perangkat tersebut ternyata menggunakan kunci keamanan (secure key) yang identik, sehingga jika satu perangkat berhasil diretas, jutaan kendaraan lainnya menjadi rentan.

Kendaraan yang terdampak adalah mobil yang dibeli dari dealer-dealer di California Selatan sejak tahun 2017. Merek-merek yang terlibat meliputi Honda, Toyota, Mazda, Ford, dan Jeep. Kendaraan yang terpasang sistem ini biasanya memiliki stiker “KARR-SWDS” di kaca jendela sisi pengemudi, dengan perangkat anti-pencurian terpasang di bawah dashboard.

Peneliti juga menemukan adanya database yang dapat diakses publik berisi informasi tentang semua kendaraan yang dilengkapi sistem keamanan tersebut. Hal ini memperparah risiko karena data lokasi dan identitas kendaraan bisa diketahui oleh pihak yang tidak bertanggung jawab.

Sistem keamanan ini dirancang sebagai alat anti-pencurian dan pelacak yang dipasang oleh dealer. Melalui aplikasi seluler, pemilik dapat mengunci dan membuka pintu, mengontrol klakson, serta menyalakan lampu depan. Sistem ini juga bisa mencegah mobil dinyalakan, namun hanya berfungsi jika mesin belum hidup.

Masalahnya terletak pada implementasi teknis. Peneliti UCSD menemukan bahwa semua perangkat KARR menggunakan kunci keamanan yang sama. Setelah kunci tersebut berhasil dipecahkan, semua mobil yang menggunakan perangkat serupa diyakini dapat diserang. Mengganti kunci keamanan bukanlah opsi yang tersedia, dan menonaktifkan Bluetooth juga tidak bisa dilakukan.

Yang lebih mengkhawatirkan, peneliti menemukan bahwa meskipun pembeli tidak membayar langganan aplikasi atau sistem KARR, perangkat kerasnya tetap terpasang di dalam kendaraan. Perangkat tersebut masih memiliki akses penuh ke pintu, sistem pengapian, klakson, dan lampu mobil. Hal ini berarti kendaraan tetap rentan meskipun pemilik tidak menggunakan layanan berlangganan.

“Melepas perangkat ini bukan hal yang sepele,” kata Yibo Wei, kandidat PhD di bidang ilmu komputer UCSD dan rekan penulis laporan penelitian yang akan dirilis sepenuhnya pada Agustus. “Anda harus membuka dashboard dan memotong serta menyambungkan kembali kabel yang terjalin erat dengan komputer dan sistem pengapian mobil,” jelasnya.

Jerry Yu, juga rekan penulis, menambahkan, “Alih-alih memecahkan kaca untuk mengakses kendaraan, pencuri kini bisa terhubung secara remote melalui Bluetooth ke perangkat di dalam kendaraan, dan membuatnya membuka kunci pintu.”

Kerentanan ini menyoroti risiko keamanan yang semakin kompleks di era kendaraan modern. Sistem yang seharusnya melindungi kendaraan justru bisa menjadi celah bagi penjahat. Pasar sekunder juga memperluas jangkauan risiko, karena kendaraan yang awalnya dibeli di California bisa berpindah tangan ke negara bagian lain di AS, bahkan hingga ke Jepang.

KARR telah menyatakan kepada media bahwa hanya kendaraan yang dipasang “dengan komponen terkait Bluetooth tertentu” yang terpengaruh. Perusahaan telah mengeluarkan pembaruan firmware untuk mengatasi masalah ini. Namun, proses pembaruan firmware mungkin tidak menjangkau semua kendaraan yang terdampak, terutama yang sudah berpindah tangan atau tidak lagi menggunakan layanan berlangganan.

Penelitian ini menjadi pengingat penting bahwa keamanan siber kendaraan harus menjadi prioritas. Sistem yang terhubung secara nirkabel, seperti Bluetooth, membuka pintu bagi serangan jika tidak dirancang dengan baik. Kasus ini juga menunjukkan pentingnya pendekatan keamanan yang lebih ketat dalam pengembangan perangkat IoT, termasuk sistem keamanan kendaraan.

Bagi pemilik kendaraan yang mencurigai mobilnya terpasang sistem KARR atau SWDS, disarankan untuk segera menghubungi dealer atau pabrikan untuk mendapatkan informasi tentang pembaruan firmware. Meskipun melepas perangkat sendiri sangat tidak disarankan karena kerumitan dan risiko kerusakan, konsultasi dengan profesional adalah langkah yang bijak.

Insiden ini juga menjadi pelajaran bagi industri otomotif dan produsen perangkat keamanan untuk menerapkan praktik terbaik dalam keamanan siber. Penggunaan kunci keamanan yang unik untuk setiap perangkat, enkripsi yang kuat, dan mekanisme pembaruan yang mudah diakses adalah langkah-langkah mendasar yang harus dipenuhi.

Para peneliti UCSD berharap temuan mereka dapat mendorong perubahan kebijakan dan standar keamanan yang lebih baik. Mereka juga menekankan pentingnya transparansi dari produsen mengenai kerentanan yang ada dan langkah-langkah perbaikannya. Ke depannya, konsumen perlu lebih sadar akan risiko keamanan yang melekat pada kendaraan modern mereka.

Dengan semakin banyaknya kendaraan yang terhubung, keamanan siber bukan lagi sekadar fitur tambahan, melainkan kebutuhan pokok. Kasus 2,2 juta mobil di California ini adalah contoh nyata bagaimana satu celah keamanan dapat berdampak luas pada jutaan pengguna. Langkah proaktif dari semua pihak, mulai dari produsen, dealer, hingga konsumen, sangat diperlukan untuk mencegah insiden serupa di masa depan.

Pembaruan firmware yang dirilis KARR adalah langkah awal, namun efektivitasnya bergantung pada seberapa cepat dan luas pembaruan tersebut diterapkan. Pemilik kendaraan harus proaktif mencari informasi dan memastikan sistem keamanan kendaraan mereka selalu diperbarui. Kesadaran akan risiko ini adalah kunci untuk melindungi kendaraan dari potensi penyalahgunaan.

Penelitian ini merupakan bagian dari upaya berkelanjutan untuk mengidentifikasi dan mengatasi kerentanan pada sistem kendaraan modern. Dengan publikasi penuh pada Agustus mendatang, diharapkan akan ada diskusi lebih lanjut tentang langkah-langkah konkret yang dapat diambil untuk meningkatkan keamanan siber di industri otomotif.

Bagi industri teknologi, kasus ini menegaskan pentingnya prinsip “security by design” di mana keamanan sudah dipertimbangkan sejak awal pengembangan produk, bukan hanya sebagai tambahan di akhir. Pendekatan ini akan membantu mencegah terulangnya insiden serupa yang dapat membahayakan jutaan pengguna di seluruh dunia.