Určitě už jste si zvykli na to, že v mnoha hotelích po celém světě už nedostanete od pokoje klíč, ale čipovou kartu. To umožňuje provozovateli její snadnou deaktivaci, pokud byste ji nevrátili nebo ztratili, stejně tak lze její používání propojit s jinými systémy hotelu. Prozatím se mělo za to, že metoda využívající NFC je velice dobře zabezpečená a nehrozí její zabezpečení.
Když se tisíce bezpečnostních výzkumníků každoročně v srpnu sjíždějí do Las Vegas na takzvaný „hackerský letní tábor“, hackerské konference Black Hat a Defcon, je jasné, že někteří z nich budou experimentovat s hackováním infrastruktury samotného Las Vegas, tedy důmyslného systému kasin a pohostinských zařízení. Ale na jedné soukromé akci v roce 2022 byla vybraná skupina výzkumníků skutečně pozvána, aby se nabourala do hotelového pokoje ve Vegas.
Výsledkem je metoda popsaná jako Unsaflock, protože se zaměřuje hlavně na systém zabezpečení značky Saflock, který je velmi rozšířený v hotelích po celém světě. Postiženy jsou více než tři miliony hotelových zámků ve 131 zemích. Tato technika je souborem bezpečnostních chyb, které by hackerovi umožnily téměř okamžitě otevřít několik modelů zámků na klíčenku RFID značky Saflok, které prodává švýcarský výrobce zámků Dormakaba.
Postup začíná získáním libovolné karty od cílového hotelu, například rezervací pokoje v tomto hotelu nebo sebráním karty z krabice s použitými kartami, přečtením určitého kódu z této karty pomocí čtecího a zapisovacího zařízení RFID za 300 dolarů (asi 5 tisíc korun) a nakonec zapsáním dvou vlastních karet. Když tyto dvě karty pouze přiloží k zámku, první z nich přepíše určitou část dat zámku a druhá jej otevře.
Stále aktuální nebezpečí
I když etičtí hackeři Ian Carroll a Lennert Wouters, kteří za tímto objevem stojí, nejdříve kontaktovali výrobce, aby chybu opravil, nestalo se tak rychle, jak byste vzhledem k závažnosti chyby očekávali. Společnost Dormakaba začala pracovat na opravě poté, co obdržela zprávu o zranitelnosti, a v listopadu 2023 zahájila upgrade hotelů. K březnu letošního roku 2024 bylo aktualizováno nebo vyměněno přibližně 36 % postižených zámků.
Wouters a Carroll tvrdí, že i bez dokonalého nebo plně implementovaného řešení je pro hotelové hosty lepší znát rizika než mít falešný pocit bezpečí. Koneckonců upozorňují, že značka Saflok se prodává již více než tři desetiletí a mohla být zranitelná po většinu tohoto období. Ačkoli společnost Dormakaba tvrdí, že si není vědoma žádného dřívějšího použití této techniky, výzkumníci zdůrazňují, že to neznamená, že k němu nikdy tajně nedošlo.
