Nordic Choice-hotell eksponerte disse USB-portene i minst halvannet år

Nylig mottok Digi.no et par bilder som viser baksiden av den ene av to PC-er som står i resepsjonen til Nordic Choice-hotellet Amerikalinjen midt i Oslo sentrum. Dette er PC-ene som resepsjonistene til hotellet bruker.

– Ved innsjekk ble jeg overrasket over at de har ASUS-maskiner som står med USB-portene fullstendig blottet for uvedkommende og usynlig for resepsjonistene. Til og med barnet mitt på fem år ville klart å plugge inn en USB[-enhet] uten å bli oppdaget. Synes dette er ekstra merkelig da Choice hotell akkurat har blitt utsatt for et omfattende virusangrep, skriver leseren.

Han valgte å la være å tipse hotellkjeden, da han mener at problemet er helt åpenbart. Men samtidig vurderte han det slik at noen måtte gjøre noe.

For lengst avbildet på internett

Leseren har også funnet et par bilder på internett som viser de eksponerte portene. Det første har hotellet selv brukt på denne siden.

Det andre bildet leseren har funnet, er mer interessant. Det er publisert i en artikkel som E24 publiserte allerede 12. november 2020. Det vil si at portene har vært eksponert i lang tid. På dette bildet er portene veldig synlige.

Enkelt å angripe

Digi.no har bedt John-André Bjørkhaug, etisk hacker i Netsecurity, vurdere den generelle risikoen ved dette basert på bilder og beskrivelse, uten å vite hvilket hotell eller hotellkjede det har dreid seg om.

– Slik du beskriver dette, vil jeg si at dette er en sikkerhetsrisiko, ja. Jeg har og observert tilsvarende på både hotell, butikker etc. Hvis en angriper plugger inn for eksempel en Rubber Ducky eller tilsvarende, kan man lett få kjørt ondsinnet kode på denne PC-en. Dette er bare ett eksempel på et angrep som man lett kan utføre, svarer Bjørkhaug.

På bildene som leseren har tatt, ser man også at det er plugget inn en nettverkskabel i PC-en.

– Eksponert nettverkskabel er jo òg en stor risiko hvis man for eksempel klarer å få tatt den ut og plassert noe imellom. Her kan for eksempel en Packet Squirrel benyttes. Den kobles mellom kabel og PC, og vil kunne avlytte all trafikk og samtidig gi fjerntilgang til nettverket, forteller Bjørkhaug.

– Eksponerte USB-porter og nettverkstilkoblinger er typiske ting vi ser etter når vi er på såkalte fysiske penetrasjonstester og full skala Red Team-tester der alt er lov, avslutter han.

Nokså taust

Digi.no tok for halvannen uke siden kontakt med kommunikasjonsavdelingen til Nordic Choice. Vi informerte om det leseren hadde oppdaget og ba i en e-post om svar på i hvilken grad eksponeringen av PC-portene hadde blitt risikovurdert. Vi spurte også om hva slags tiltak det var gjort for å forhindre at ondsinnede kan koble til enheter som utnytter disse portene og potensielt får tilgang til IT-systemene til hotellet.

Dette har Nordic Choice valgt å ikke svare på. Nesten en uke etter at vi sendte den første henvendelsen, fikk vi en e-post fra Geir Økland, senior kommunikasjonsrådgiver i Nordic Choice.

«Beklager sen tilbakemelding.

Vi takker for at dere gjorde oss oppmerksom på dette, og tiltak er iverksatt for å sikre USB-portene.»

Nordic Choice har ikke svart på Digi.no sine gjentatte oppfordringer til svare på spørsmålene. Hvordan portene har blitt sikret er dermed også uklart. Det var ikke mulig å se at noen fysisk endring var gjort da Digi.no var en tur innom resepsjonen til Amerikalinjen lørdag ettermiddag.