高端酒店爆出WiFi漏洞，賓客個人信息面臨風險
酒店WiFi網絡向來是黑客和商業間諜竊取高端商務人士和政要名流機密信息的理想場所，其中尤其以國家黑客組織DarkHotel的“水坑攻擊”最具威脅。與此同時，酒店行業也是網絡安全的重災區，從凱悅、萬豪酒店到華住集團的大規模數據泄漏事件，再到層出不窮的酒店偷窺攝像頭事件，都對個人信息和隱私造成嚴重威脅。而酒店業的網絡安全諸多短板中，WiFi網絡的脆弱性是尤為吸引黑客的重點目標。
安全研究人員Etizaz Mohsin近日透露，數百家酒店用來提供和管理賓客Wi-Fi網絡的互聯網網關存在漏洞，可能會使賓客的個人信息面臨風險。
Etizaz Mohsin指出，Airangel HSMX網關包含“極其容易猜到”的硬編碼密碼。使用這些密碼，攻擊者可以遠程訪問網關的設置和數據庫，這些設置和數據庫存儲有關客人使用Wi-Fi的記錄。通過這種訪問，攻擊者可以訪問和竊取訪客記錄，或重新配置網關的網絡設置以在不知不覺中將訪客重定向到惡意網頁。
早在2018年，Mohsin在他下榻的一家酒店的網絡上發現了其中一個網關。他發現網關正在同步來自互聯網上另一臺服務器的文件，Mohsin說其中包含來自世界上一些最負盛名和最昂貴的酒店的數百個網關備份文件。他說，服務器還存儲了“數百萬”客人姓名、電子郵件地址以及到達和離開日期。
Mohsin報告了這個錯誤并且服務器得到了保護，但這引發了一個猜想：這個網關是否還有其他漏洞可能會使數百家其他酒店面臨風險？
最后，Mohsin果然發現了五個可能危及網關的漏洞——包括客人的信息。向媒體披露的一張截圖顯示了一家酒店易受攻擊的網關的管理界面，其中顯示了客人的姓名、房間號和電子郵件地址。
Mohsin向Airangel報告了新發現的漏洞緩存，但幾個月過去了，這家總部位于英國的網絡設備制造商仍未修復這些錯誤。一位代表告訴Mohsin，該公司自2018年以來就沒有出售過該設備，并且不再受支持。
但Mohsin表示，該設備仍被世界各地的酒店、商場和會議中心廣泛使用。互聯網掃描顯示，僅通過互聯網就可以訪問600多個網關，但易受攻擊的設備的真實數量可能更高。他說，大多數受影響的酒店位于英國、德國、俄羅斯和整個中東地區。
“鑒于此漏洞鏈提供的訪問權限級別，攻擊者幾乎可以做任何想做的事。”Mohsin指出。
Mohsin上個月在沙特阿拉伯的Hack會議上披露了他的發現，但Airangel沒有回應置評請求。
