Investigadores de segurança divulgaram o Unsaflok, um conjunto de vulnerabilidades que afetam determinadas configurações de fechaduras hoteleiras Dormakaba Saflok. O problema foi comunicado primeiro à Dormakaba de forma privada, em setembro de 2022, e divulgado publicamente em março de 2024. Tanto os investigadores como a Dormakaba afirmaram não ter conhecimento de exploração em situações reais à data das suas declarações públicas.
Os investigadores demonstraram que um atacante com acesso a um cartão ativo ou expirado da unidade e a equipamento adequado de leitura e escrita podia criar credenciais falsificadas para as instalações afetadas. Não se tratava de uma atualização de software maliciosa nem de um mecanismo oculto de acesso (backdoor). O risco depende do modelo da fechadura, da configuração do sistema, do software e da aplicação das medidas Enhanced Security da Dormakaba.
O que os hotéis devem fazer
Os hotéis devem utilizar a autoavaliação oficial da Dormakaba e contactar a sua equipa de apoio à segurança hoteleira. Consoante a instalação, a correção pode incluir atualizações de software, de fechaduras ou de codificadores, substituição de hardware, novos cartões e coordenação com os sistemas de gestão hoteleira ligados. A equipa deve também seguir os procedimentos estabelecidos de controlo de cartões e investigar prontamente credenciais desaparecidas ou eventos de acesso invulgares.
As orientações da Dormakaba são específicas de cada instalação. A substituição dos cartões, por si só, não corrige uma vulnerabilidade num sistema de fechaduras, e não se pode presumir que um cartão com um chip diferente funcione em segurança com um leitor ou codificador existente.
Como a PrintPlast apoia uma migração de cartões
A PrintPlast fabrica credenciais segundo os requisitos confirmados pelo hotel quanto a chip, memória, frequência, dimensões e impressão. Num projeto de correção ou migração, o fornecedor do sistema de fechaduras deve primeiro definir a especificação aprovada para as credenciais. Podemos então produzir amostras para validação com os leitores e codificadores efetivamente utilizados na unidade, antes da produção em série. A segurança depende, em última análise, de todo o sistema de controlo de acessos, incluindo configuração do chip, gestão de chaves, software, hardware e procedimentos operacionais, e não apenas do corpo impresso do cartão.
Para obter orientações técnicas atuais, consulte a divulgação dos investigadores do Unsaflok e o apoio à segurança hoteleira da Dormakaba.
Dormakaba e Saflok são marcas de terceiros, utilizadas apenas para identificar os sistemas afetados. A PrintPlast é um fabricante independente de cartões e não tem afiliação nem é apoiada pelos titulares dessas marcas.