N’importe quel téléphone Android compatible NFC pourrait forger une clé principale pour chaque chambre d’un hôtel
En un mot: Plus de trois millions de serrures de chambres d’hôtel dans 13 000 bâtiments dans 131 pays sont vulnérables à un exploit qui permet aux attaquants de falsifier les clés principales de n’importe quelle porte. Bien que le fabricant des serrures concernées soit en train de déployer un correctif, il est difficile de savoir quand ou si chaque hôtel concerné mettra à niveau ses systèmes.
Des chercheurs ont récemment révélé une faille de sécurité importante dans les serrures électroniques RFID Saflok de Dormakaba, très appréciées des hôtels. Cela pourrait permettre à un pirate informatique de cloner la carte d’accès d’un hôtel pour accéder à n’importe quelle pièce du bâtiment. On ne sait pas si les pirates exploitent activement cette vulnérabilité.
L’exploit affecte Saflok MT, Quantum Series, RT Series, Saffire Series, Confidant Series et tous les autres verrous Saflok. Saflok MT et RT (photo ci-dessous) sont les plus courants. La plupart des hôtels qui utilisent les serrures concernées utilisent un logiciel de gestion System 6000, Ambiance ou Community.
L’utilisation de l’exploit nécessite une véritable carte-clé MIFARE Classic – active ou expirée – et tout appareil capable d’écrire des données sur une carte. Quelques exemples d’appareils capables de pirater une carte NFC incluent Flipper Zero, Prixmark3 et tout téléphone Android équipé de NFC. Une seule fausse carte peut déverrouiller n’importe quelle porte de l’hôtel qui a produit l’originale. Il peut également remplacer les pênes dormants, de sorte qu’un verrou à chaîne est probablement nécessaire pour arrêter un intrus.
La seule façon de vérifier si quelqu’un a utilisé une fausse carte-clé est de consulter les journaux d’entrée/sortie de la serrure à l’aide d’un appareil HH6. Pourtant, il est difficile de savoir si une entrée suspecte provenait d’un locataire utilisant la mauvaise carte ou d’un membre du personnel déverrouillant une porte.
Les chercheurs ont initialement développé la méthode lors d’une conférence de piratage à Las Vegas en 2022 et en ont immédiatement informé Dormakaba. L’entreprise a mis au point un correctif, mais n’a corrigé ou remplacé que 36 % des serrures concernées.
Les verrous mis à jour sont visuellement impossibles à distinguer des verrous vulnérables. Cependant, tout hôtel utilisant des systèmes Saflok avec des cartes MIFARE Ultralight C a probablement terminé la mise à niveau. Les voyageurs inquiets peuvent facilement identifier les types de cartes-clés à l’aide de l’application NFC Taginfo de NXP, disponible sur iOS et Android.
Résoudre le problème dans chaque bâtiment concerné dans le monde est difficile, voire impossible. Le processus nécessite la mise à jour ou le remplacement des serrures, des logiciels de gestion, des cartes, des encodeurs de cartes-clés et des appareils tiers intégrés tels que les ascenseurs, les portes de garage et les systèmes de paiement – un défi de taille, au mieux.
Les chercheurs n’ont pas encore publié tous les détails sur la vulnérabilité mais prévoient d’en publier davantage. L’exploit n’est probablement pas sauvage. Cependant, les serrures concernées sont en circulation depuis 1988, donc quelqu’un d’autre aurait théoriquement pu concevoir un piratage similaire à tout moment au cours des trois dernières décennies et demie.
Mise à jour: L’équipe de relations publiques de dormakaba nous a contactés et nous a demandé de publier la déclaration suivante (légèrement modifiée par souci de concision) :
« Dès que nous avons été informés de la vulnérabilité par un groupe de chercheurs externes en sécurité, nous avons lancé une enquête approfondie, donné la priorité au développement et au déploiement d’une solution d’atténuation et travaillé pour communiquer systématiquement avec les clients.
Nous n’avons connaissance d’aucun cas signalé d’exploitation de ce problème à ce jour. Conformément aux principes de divulgation responsable, nous collaborons avec les chercheurs pour fournir une alerte plus large afin de mettre en évidence l’évolution des risques existants liés à la technologie RFID existante, afin que d’autres puissent prendre des mesures de précaution. Nous apprécions la divulgation responsable et l’approche collaborative adoptées par les chercheurs qui ont partagé notre objectif de protéger les utilisateurs et de renforcer la technologie de sécurité tout au long de ce processus.
