Onderzoekers hebben in een check-in kiosk die door duizenden hotels wereldwijd wordt gebruikt om gasten in te laten checken een kwetsbaarheid ontdekt waardoor een aanvaller gastgegevens kan achterhalen. Fabrikant Ariane Systems zegt dat het probleem inmiddels is opgelost, maar heeft geen details gegeven in welke versie dit precies is.

De check-in kiosk wordt volgens Ariane Systems door drieduizend hotels in 29 landen gebruikt, voor het bedienen van een half miljoen 'self-served rooms'. Via de terminal kunnen gasten kamers reserveren en inchecken. Het is mogelijk om op bestaande reserveringen te zoeken. Wanneer er echter een naam met een enkele quote wordt gegeven loopt de applicatie vast en is het mogelijk om uit de kioskmode te 'ontsnappen'.

Gebruikers hebben dan toegang tot de onderliggende Windows-desktop, waarop reserveringen en facturen met gastgegevens staan. Volgens onderzoekers van Pentagrid zou een aanvaller mogelijk ook kamersleutels voor andere kamers kunnen genereren, omdat de benodigde RFID-functionaliteit in de terminal zit ingebouwd. Daarnaast zou een aanvaller aanvallen tegen het achterliggende hotelnetwerk kunnen uitvoeren.

De onderzoekers waarschuwden Ariane Systems begin maart. Na een moeizaam contactproces vond er in april telefonisch overleg plaats. Eind mei vroegen de onderzoekers om een update, maar kregen geen reactie. De fabrikant claimt dat het probleem inmiddels is opgelost, maar het is onbekend in welke versie dit zou zijn. Hotels worden aangeraden om de laatste versie te gebruiken en de check-in terminal van het netwerk te isoleren, zodat het hotelnetwerk of Windowsdomein niet kan worden aangevallen.