Se han identificado importantes fallos de seguridad en las cerraduras electrónicas de RFID de la marca Dormakaba Saflok, ampliamente utilizadas en la industria hotelera, los cuales podrían ser explotados por ciberdelincuentes para generar tarjetas de acceso falsificadas y así ingresar de manera discreta a habitaciones cerradas.

Un equipo de investigadores, liderado por Lennert Wouters e Ian Carroll, entre otros, ha bautizado colectivamente estas vulnerabilidades como “Unsaflok”. Los hallazgos fueron notificados a la compañía con sede en Zurich en septiembre de 2022.

La combinación de debilidades descubiertas posibilita que un atacante pueda desbloquear todas las puertas de un hotel utilizando únicamente un par de tarjetas de acceso falsificadas. Sin embargo, los detalles técnicos específicos se han retenido temporalmente para evitar posibles daños mayores.

Este problema afecta a más de tres millones de cerraduras de hoteles distribuidas en 131 países. Dormakaba ha implementado un proceso de actualización o reemplazo del 36% de estas cerraduras desde noviembre de 2023, como parte de un esfuerzo por mitigar el riesgo asociado.

El método de ataque implica inicialmente la obtención y lectura de una tarjeta de acceso legítima, seguido por la creación de un par de tarjetas falsificadas utilizando dispositivos de lectura-escritura de RFID disponibles en el mercado. Esta estrategia también involucra manipular el software de gestión de tarjetas de acceso utilizado en la administración hotelera.

Aunque no se ha registrado ningún incidente confirmado de explotación de estas vulnerabilidades hasta la fecha, los investigadores advierten sobre la posibilidad de que hayan sido descubiertas o utilizadas de manera discreta por otros individuos o grupos.

Además, señalan la importancia de monitorear y auditar los registros de entrada/salida de las cerraduras para detectar posibles actividades sospechosas. También advierten sobre problemas similares en la seguridad de la industria del transporte de camiones, donde se han encontrado vulnerabilidades críticas en los dispositivos electrónicos de registro que podrían ser aprovechadas para manipular datos y operaciones de vehículos de forma no autorizada, incluso con el potencial de generar graves consecuencias para la seguridad pública.

Fuente:https://thehackernews.com/2024/03/dormakaba-locks-used-in-millions-of.html