В настоящее время в большинстве отелей используются для номеров не обычные ключи, а ключ-карты. И в том, что такие замки подвержены взлому, а ключ-карты подделке, ни для кого секрета нет. Исследователем компании Rapid7 Вестоном Хикером (Weston Hecker) в ходе конференции Black Hat было рассказано об устройстве стоимостью 6 долларов, с помощью которого можно без труда копировать ключ-карты, брутфорсить замки в отелях и взламывать PoS-системы.

Хикер - далеко не первооткрыватель в данной области., ведь годом ранее другой исследователь, Сэми Камкар (Samy Kamkar), в свое время запустивший червя Samy на MySpace, поделился с миром поративным спуфером банковских карт MagSpoof, габариты которого не превышали размер монеты. Благодаря устройству Камкара можно было считывать магнитные данные с полос карт по воздуху с сохранением их в памяти, а также оно предсказывало, каким будет номер у карты American Express после ее перевыпуска.

Пошедший по стопам Камкара Вестон Хикер развил эту идею, создав устройство ценой в $6 размером с карточную колоду. Этот прибор, как и MagSpoof, считывает данные с магнитных полос ключ-карт отелей, дублируя их, а также девайс способен осуществлять брутфорс замков.

Для применения «грубой силы» атакующему необходимо лишь наличие собственного ключа от номера либо ключа , который взят у одного из постояльцев гостиницы. В ключ-карте содержатся данные о регистрационном номере (folio number), отображается номер комнаты и дата выселения. Имея данную информацию атакующим подбирается комбинация к замкам других номеров посредством перебора. Надо лишь поднести прибор расположенному на двери считывающему устройству, и аппарат Хикера, перебирая 48 комбинация в минуту, подбирает правильный вариант. Чтобы избежать перегрева девайса, изобретатель оснастил его дополнительными антеннами.

Но взлом номеров и копирование ключ-карт является не самой интересной из возможностей аппарата Хикера. Этот прибор также может быть использован против PoS-систем, для чего его лишь следует поднести близко к PoS-терминалу, считывающему карты с магнитными полосами. Устройство производит обман системы, осуществляя инжект виртуальных нажатий клавиш. В частности, оно может принудить систему посетить сайт с вредоносными файлами, заставляет скачивать и запускать малварь с удаленного сервера. То есть производится заражение системы, к примеру, банковскими троянами.

Весон Хикер планирует рассказать о своем устройстве во всех подробностях на конференции DEF CON. Сейчас лишь известно, что работу над данным гаджетом исследователь начал в апреле текущего года, и в первое время его метод был очень медленным: для подбора одного ключа требовалось не менее 20 минут. Но позже изобретатель придумал использовать дешевый китайский MP3-плеер, что заметно ускорило работу гаджета.