Furti, adesso aprono le camere di hotel solo con uno smartphone | Corri un grave rischio
Attenti alle serrature nelle camere d’hotel: nemmeno avere la chiave ti mantiene al sicuro, ora copiano ogni dato.
Nel panorama tecnologico in costante mutamento non tutte le novità del settore riescono a viaggiare di pari passo con una garanzia di sicurezza.
Un’allarmante vulnerabilità ha recentemente colpito il settore alberghiero, minacciando la sicurezza informatica di milioni di viaggiatori in tutto il mondo.
Più di tre milioni di serrature elettroniche RFID, presenti in circa 13.000 hotel distribuiti in 131 paesi, sono state individuate come suscettibili a un exploit che potrebbe generare chiavi master per accedere a qualsiasi stanza.
Questo fenomeno mette a repentaglio la sicurezza di innumerevoli ospiti: ecco spiegato cos’è accaduto.
Un telefono dotato di NFC diventa un passepartout
La problematica riguarda i sistemi di bloccaggio Saflok, prodotti dalla rinomata azienda Dormakaba, ampiamente utilizzati nel settore alberghiero. Tra le serie coinvolte vi sono Saflok MT, Quantum, RT, Saffire e Confidant, tra le quali le serie MT e RT risultano le più diffuse. Gli hotel affetti da questa vulnerabilità utilizzano solitamente software di gestione come System 6000, Ambiance o Community. L’exploit in questione richiede l’accesso a una carta chiave MIFARE Classic legittima, attiva o scaduta, e un dispositivo in grado di scrivere dati su di essa. Tra questi dispositivi figurano Flipper Zero, Prixmark3 e alcuni telefoni Android dotati di NFC (lo stesso sistema delle carte di credito e bancomat digitali).
Una volta ottenuta, una carta clonata potrebbe sbloccare qualsiasi porta nell’hotel in cui la carta originale è stata emessa, incluso il potenziale di sovrascrivere i catenacci, rendendo inefficaci misure di sicurezza secondarie come le catene. La verifica di un uso improprio di una chiave falsificata è resa complessa dall’analisi dei registri delle serrature tramite un dispositivo HH6. È difficile distinguere tra un utilizzo errato della carta da parte di un ospite e un’effrazione da parte di un malintenzionato.
Parla l’azienda produttrice: stanno facendo il possibile
La scoperta di questa falla è stata inizialmente annunciata da un gruppo di ricercatori durante una conferenza sul hacking a Las Vegas nel 2022. Subito dopo, hanno informato Dormakaba, che ha da allora lavorato per elaborare una soluzione. Tuttavia, solo il 36% delle serrature interessate è stato aggiornato o sostituito, e molti dispositivi aggiornati sono esteriormente indistinguibili da quelli vulnerabili. Nonostante i progressi, risolvere questa questione a livello globale è un compito arduo. È necessario aggiornare o sostituire serrature, software di gestione, carte e dispositivi terzi integrati, come ascensori, porte del garage e sistemi di pagamento.
I ricercatori, sebbene abbiano ammesso la vulnerabilità, hanno scelto di non diffondere tutti i dettagli tecnici, ma potrebbero farlo in futuro. Nonostante non siano stati segnalati utilizzi malevoli dell’exploit, è importante notare che le serrature coinvolte sono in circolazione dal 1988, suggerendo che possano esserci state tecniche simili sviluppate nel corso degli anni. In risposta alle preoccupazioni, il team PR di Dormakaba ha rilasciato una dichiarazione ufficiale, sottolineando il loro impegno nella soluzione del problema e nella collaborazione con i ricercatori per proteggere gli utenti e migliorare la tecnologia di sicurezza.