Forschende haben eine Sicherheitslücke namens „Unsaflok“ aufgedeckt, die 3 Millionen elektronische RFID-Schließsysteme von Saflok betrifft. Diese sind weltweit in 13.000 Hotels und Wohnungen installiert und ermöglichen es Angreifern, mit gefälschten Schlüsselkarten jede Tür zu öffnen.
Die Schwachstelle wurde im September 2022 von einem Forschungsteam entdeckt und erstmals von Wired berichtet. Die Gruppe nahm an einem privaten Hacking-Event in Las Vegas teil, bei dem sie sich auf die Sicherheitsmängel des Saflok-Elektronikschlosses konzentrierten. Sie fanden heraus, dass sie jede Tür im Hotel öffnen konnten.
Ihre Erkenntnisse teilten die Forschenden im November 2022 dem Hersteller Dormakaba mit, der daraufhin mit Abhilfemaßnahmen begann und die Hotels über das Sicherheitsrisiko informierte, ohne das Problem öffentlich zu machen.
Die Schwachstellen sind bereits seit über 36 Jahren vorhanden, und obwohl es bisher keine bestätigten Ausnutzungen gab, erhöht der lange Zeitraum die Wahrscheinlichkeit dafür.
Mit den Unsaflok-Schwachstellen können Angreifer jede Tür in einer Einrichtung mit einem Paar gefälschter Schlüsselkarten öffnen. Für den Angriff benötigen sie lediglich das Lesen einer Schlüsselkarte aus der Einrichtung. Die Forschenden haben gezeigt, wie einfach es ist, mit handelsüblichen Werkzeugen und weniger als einigen hundert Dollar an Ausrüstung gefälschte Schlüsselkarten zu erstellen.
Die Unsaflok-Sicherheitsmängel betreffen mehrere Saflok-Modelle und sind in drei Millionen Türen in 13.000 Einrichtungen in 131 Ländern im Einsatz. Dormakaba hat mit der Ersetzung und Aufrüstung der betroffenen Schlösser begonnen, aber bis März 2024 waren noch 64% der Schlösser anfällig.
Die Forschenden haben angekündigt, die vollständigen Details des Unsaflok-Angriffs in Zukunft zu teilen, wenn die Bemühungen zur Behebung der Probleme zufriedenstellende Fortschritte erzielt haben. Gäste können mit der NFC Taginfo App überprüfen, ob die Schlösser ihrer Zimmer anfällig sind, indem sie die Art ihrer Schlüsselkarte überprüfen.
