The Hacker Newsは3月29日(現地時間)、「Dormakaba Locks Used in Millions of Hotel Rooms Could Be Cracked in Seconds」において、アクセスソリューション企業「Dormakaba」のSaflokを使用するRFIDドアロックから脆弱性が発見されたと報じた。このシステムを採用するドアは攻撃者の用意した1組のカードキーによりロックを解除でき、131カ国の1万3,000を超える施設(ホテルなど)の300万枚以上のドアに影響があるとみられている。

  • Dormakaba Locks Used in Millions of Hotel Rooms Could Be Cracked in Seconds

    Dormakaba Locks Used in Millions of Hotel Rooms Could Be Cracked in Seconds

Saflokが抱えている脆弱性

この脆弱性は発見者のLennert Wouters氏、Ian Carroll氏、rqu氏、BusesCanFly氏、Sam Curry氏、sshell氏、Will Caruana氏により「Unsaflok」と呼ばれている(参考：「Unsaflok | Unsaflok is a series of serious security vulnerabilities in the Saflok brand of hotel locks.」)。Unsaflokは世界中のホテルや集合住宅にて使用されているDormakabaのRFIDドアロック「Saflok」に存在する脆弱性で、1枚の正規カードキー(破棄されたものでもよい)とこのカードキーから作成される偽造カードキーの合計2枚を用意することで施設すべての「Saflok」ドアを解錠できるとされる。

なお、偽造カードキーはポータブルマルチツール「Flipper Zero」やAndroidデバイスでも代用可能なため、ホテルの利用者であれば誰でも攻撃可能とみられる。

  • Unsaflokの影響を受けるドアロックの例 - 引用：Dormakaba

    Unsaflokの影響を受けるドアロックの例 　引用：Dormakaba

Saflokの脆弱性が及ぼす影響と対策

Saflokは1988年から販売が開始された36年もの歴史を持つ電子式のドアロックシステム。これまで、この脆弱性の悪用は確認されていないが、悪用されていた可能性は否定されていない。Unsaflokの研究者たちは「ホテルとゲストに影響を与える可能性がある」として、この脆弱性の概念実証(PoC: Proof of Concept)コードの公開予定はないとしている。

脆弱性の情報は2022年9月にDormakabaに報告され、2023年11月から対策が開始されている。2024年3月の時点で約36%のドアの対策が完了したとされる。対策が完了したかどうかはドアの外観からはわからないため、不安なユーザーはドアチェーンを併用することが推奨されている。