Beveiligingsonderzoekers publiceerden Unsaflok, een groep kwetsbaarheden in bepaalde configuraties van Dormakaba Saflok-hotelsloten. Het probleem werd in september 2022 vertrouwelijk aan Dormakaba gemeld en in maart 2024 openbaar gemaakt. Zowel de onderzoekers als Dormakaba verklaarden dat zij bij hun publieke mededelingen niet op de hoogte waren van misbruik in de praktijk.
De onderzoekers toonden aan dat iemand met een actieve of verlopen kaart van de accommodatie en geschikte lees- en schrijfapparatuur vervalste toegangsgegevens voor getroffen installaties kon maken. Het ging niet om een kwaadaardige software-update of verborgen achterdeur. Het risico hangt af van het slotmodel, de systeemconfiguratie, de software en de toepassing van Dormakaba’s Enhanced Security-maatregelen.
Wat hotels moeten doen
Hotels moeten de officiële zelfbeoordeling van Dormakaba gebruiken en contact opnemen met de beveiligingsondersteuning voor hospitality. Afhankelijk van de installatie kan herstel bestaan uit updates van software, sloten of encoders, vervangende hardware, nieuwe kaarten en afstemming met gekoppelde propertymanagementsystemen. Medewerkers moeten daarnaast de procedures voor kaartbeheer volgen en ontbrekende kaarten of ongebruikelijke toegangsgebeurtenissen direct onderzoeken.
De oplossing is installatiegebonden. Alleen kaarten vervangen verhelpt geen kwetsbaarheid in een slotsysteem. Er mag ook niet worden aangenomen dat een kaart met een andere chip veilig werkt met bestaande lezers en encoders.
Hoe PrintPlast een kaartmigratie ondersteunt
PrintPlast produceert toegangskaarten volgens bevestigde eisen voor chip, geheugen, frequentie, afmetingen en bedrukking. De leverancier van het slotsysteem moet eerst de goedgekeurde kaartspecificatie vaststellen. Daarna kunnen wij monsters maken die vóór serieproductie met de daadwerkelijke lezers en encoders van het hotel worden getest. Beveiliging hangt af van het volledige toegangssysteem — chipconfiguratie, sleutelbeheer, software, hardware en procedures — en niet alleen van de bedrukte kaart.
Raadpleeg de Unsaflok-publicatie van de onderzoekers en Dormakaba Hospitality Security Support.
Dormakaba en Saflok zijn merken van derden en worden uitsluitend genoemd om de getroffen systemen aan te duiden. PrintPlast is een onafhankelijke kaartproducent en is niet gelieerd aan of goedgekeurd door de merkhouders.