Исследователи обнародовали информацию об атаке, позволяющей подделывать ключ-карты от распространённых в гостиничном бизнесе электронных дверных замков. Атака получила название Unsaflok — в честь уязвимого для неё бренда замков Saflok.
Бренд принадлежит крупной швейцарской компании Dormakaba, специализирующейся на системах физического доступа. Замки линейки Saflok начали продавать ещё в 1988 году, и за это время они успели стать весьма популярными у отельеров.
Такими замками пользуются более 13 000 отелей в 131 стране мира, и ими оборудовано примерно 3 000 000 дверей. Учитывая, что общее количество отельных номеров в мире составляет около 17,5 млн, можно считать, что потенциально для этой атаки уязвима в среднем каждая шестая гостиничная дверь.
Вернее, так было на момент обнаружения уязвимости. Дело в том, что исследователи нашли способ подделки ключ-карт для замков Saflok ещё в 2022 году. Они не стали обнародовать информацию об атаке сразу, предоставив компании-производителю время на то, чтобы исправить уязвимости и обновить замки.
Но поскольку счёт идет на тысячи гостиниц, процесс ещё не закончен: пока Dormakaba успела обновить 36% уязвимых замков. Так что остаётся еще пара миллионов дверей, которые оборудованы небезопасными замками. Причём неважно, изнутри они закрыты или снаружи: в системах Saflok закрытие и открытие дверей всегда электронное.
Unsaflok позволяет из любого ключа атакуемой гостиницы (например, от собственной комнаты) извлечь данные, которых достаточно для создания мастер-ключа, открывающего все двери в этом здании. Также понадобится Android-смартфон с NFC или Flipper Zero.
Тем не менее, серьёзного повода для беспокойства нет: исследователи пока не раскрывают всех подробностей атаки. Системы видеонаблюдения в отелях никто не отменял, ценные вещи можно хранить в локере, а находясь в номере — использовать механическую блокировку двери.
