セキュリティ研究者は、一部のDormakaba Saflokホテルロックの構成に影響する複数の脆弱性「Unsaflok」を報告しました。この問題は2022年九月に初めてDormakabaへ非公開で報告され、2024年三月に公表されました。研究者とDormakabaの双方によると、それぞれの公表時点で、実環境での悪用は把握されていませんでした。
研究者は、有効または期限切れの施設のカードと、適切な読み書き機器を入手した攻撃者が、影響を受ける設備で使用できる偽造認証媒体を作成できることを実証しました。これは、悪意あるソフトウェア更新や隠されたバックドアによるものではありません。リスクは、ロックのモデル、システム構成、ソフトウェア、そしてDormakabaのEnhanced Security対策が適用されているかどうかによって異なります。
ホテルが取るべき対応
ホテルはDormakabaの公式セルフアセスメントを利用し、同社のホスピタリティ・セキュリティサポートチームに連絡してください。設備によっては、ソフトウェアの更新、ロックやエンコーダーの更新、機器の交換、新しいカードの導入、接続されている宿泊管理システムとの調整が必要になる場合があります。スタッフは、定められたカード管理手順も守り、認証媒体の紛失や通常とは異なるアクセスがあれば速やかに調査する必要があります。
Dormakabaの対応指針は、設置された設備によって異なります。カードを交換するだけではロックシステムの脆弱性は解消されません。また、異なるチップを搭載したカードが既存の読取機やエンコーダーで安全に使えると決めつけることもできません。
カード移行を支援するPrintPlastの役割
PrintPlastは、ホテルが確認したチップ、メモリ、周波数、寸法、印刷の要件に合わせて認証媒体を製造します。脆弱性への対処や移行を行う場合は、まずロックシステムの提供元が承認済みの認証媒体の仕様を定める必要があります。その後、当社がサンプルを製作し、量産前に施設の実際の読取機とエンコーダーで検証できます。セキュリティは最終的に、チップの構成、鍵の管理、ソフトウェア、ハードウェア、運用手順を含むアクセス制御システム全体によって決まります。印刷されたカード本体だけで決まるものではありません。
最新の技術的な指針については、Unsaflokの研究公表資料およびDormakaba Hospitality Security Supportをご確認ください。
DormakabaおよびSaflokは第三者の商標であり、影響を受けるシステムを特定する目的でのみ使用しています。PrintPlastは独立したカードメーカーであり、これらの商標の所有者との提携関係はなく、推奨も受けていません。