Desarrollan una "llave maestra" para acceder a millones de habitaciones de hotel

Madrid

Los expertos en ciberseguridad Tomi Tuominen y Timo Hirvonen, que trabajan para la compañía F-Secure, han demostrado el peligro existente con la mayoría de cerraduras electrónicas presentes en las habitaciones de hotel, en los garajes y en centros de almacenamiento. Todo ello a través de una "llave maestra" creada para aprovechar las vulnerabilidades del sistema Vision by VingCard, mediante la que han demostrado ser capaces de acceder a millones de habitaciones.

En la página web de F-Secure, los hackers han explicado que, a día de hoy, la mayoría de cerraduras electrónicas incorporan el sistema Vision by VingCard. Un sistema, que se utiliza en más de 42.000 propiedades en 166 países, que cuenta con un fallo de diseño que ha permitido a los hackers acceder a diferentes habitaciones.

Así funciona el sistema Vision by VingCard

El sistema Vision by VingCard es utilizado por el personal del hotel para proporcionar permisos tanto a los huéspedes como a los empleados del mismo. Gracias a esta tecnología, los responsables pueden determinar a qué áreas puede ir una persona e incluso restringir el piso donde se detiene el ascensor. Cada vez que un huésped realiza el check-out, las llaves se resetean para que puedan ser utilizadas por nuevos clientes.

Sin embargo, este sistema retiene los datos suficientes para ser utilizados en el ataque. Mediante un dispositivo de mano que ejecuta software personalizado, los hackers han demostrado ser capaces de robar datos de una tarjeta clave, ya sea mediante la identificación de radiofrecuencia inalámbrica (RFID) o la banda magnética.

Una actualización para solventar la vulnerabilidad

Tras robar los datos de la tarjeta, el dispositivo es capaz de manipularlos y producir un token de acceso con el nivel más alto de privilegios. Es decir, los hackers son capaces de conseguir una llave maestra que abra cada una de las habitaciones que cuenten con Vision by VingCard. Sin embargo, la llave no funciona con el nuevo sistema de seguridad de la compañía, conocido como VisionLine.

Únete al canal de WhatsApp de la SER

Cuando detectaron este fallo de seguridad, hace ya un año, Tuominen y Hirvonen avisaron a Assa Abloy. Gracias a ello, la compañía lanzó una actualización de seguridad mediante el que solventan esta vulnerabilidad. Sin embargo, y dado que las cerraduras no tienen conexión a Internet, la actualización tiene que ser instalada manualmente puerta por puerta. Por esa misma razón, a día de hoy existen un gran número de habitaciones vulnerables que podrían ser abiertas con esta llave maestra.