Ryzyko skimmingu kart 125kHz w biurach i sposoby ochrony

Większość problemów z kartami dostępowymi w biurach na początku nie wygląda spektakularnie. Drzwi otwierają się wtedy, gdy nie powinny. Raport bezpieczeństwa pokazuje użycie identyfikatora pracownika o nietypowej godzinie. Najemca zgłasza wejście na ograniczone piętro, ale nie ma wyłamanej blokady, zbitej szyby ani oczywistego wejścia „na ogon” widocznego na kamerze. System kontroli dostępu uznaje poświadczenie za prawidłowe. Pracownik twierdzi, że karta nigdy nie opuściła jego portfela. Wtedy wiele firm zaczyna rozumieć niewygodną prawdę o starszych biurowych kartach 125kHz: w wielu budynkach najsłabszym punktem nie są drzwi. Jest nim samo poświadczenie.

Ten artykuł nie jest instrukcją kradzieży kart. To praktyczne ostrzeżenie dla facility managerów, dyrektorów ds. bezpieczeństwa, właścicieli nieruchomości, administratorów biur oraz działów zakupów porównujących karty kontroli dostępu RFID. W przypadku wielu starszych kart zbliżeniowych 125kHz ryzyko polega na tym, że często nadają one prosty, stały identyfikator. Jeśli osoba nieuprawniona przechwyci ten identyfikator za pomocą ukrytego lub ręcznego urządzenia do skimmingu, skopiowane poświadczenie może w niektórych systemach posłużyć do podszycia się pod oryginalną kartę, o ile kontrola dostępu nie ma dodatkowych zabezpieczeń.

Dlatego bezpieczeństwo kart 125kHz wymaga większej uwagi. Takie karty nadal są powszechne w biurach, magazynach, szpitalach, budynkach mieszkalnych, szkołach, przestrzeniach coworkingowych, fabrykach i wieżowcach komercyjnych. Są znane, niedrogie i szeroko obsługiwane. Jednak przyzwyczajenie potrafi ukryć ryzyko. Karta, która po dziesięciu latach nadal otwiera drzwi, może sprawiać wrażenie niezawodnej, choć jej model bezpieczeństwa jest już poważnie przestarzały.

Dlaczego stare karty 125kHz są atrakcyjnym celem

Wiele biurowych kart 125kHz to pasywne poświadczenia zbliżeniowe. Nie mają baterii. Gdy znajdą się w pobliżu kompatybilnego czytnika, pole czytnika zasila kartę, a karta odpowiada zapisanym identyfikatorem. W starszych systemach ten identyfikator może być statyczny. Czytnik odczytuje numer, kontroler porównuje go z listą uprawnionych użytkowników, a drzwi odblokowują się, jeśli numer zostanie zaakceptowany.

Brzmi prosto, ponieważ takie właśnie jest. Prostota ułatwia codzienne korzystanie z dostępu, ale staje się ryzykowna, gdy karta nie korzysta z nowoczesnej ochrony kryptograficznej. Jeśli system opiera się głównie na stałym numerze, ochrona tego numeru nabiera kluczowego znaczenia. Problem w tym, że ludzie noszą karty wszędzie. Mają je na smyczach, przypinają do toreb, zostawiają na biurkach, wkładają do kieszeni kurtek albo przechowują za etui telefonu. W zatłoczonych budynkach tworzy to okazje do nieautoryzowanego odczytu.

Co odkrył zarządca nieruchomości

Zarządca budynku komercyjnego w Atlancie zetknął się z tym problemem po zgłoszeniu najemcy dotyczącym wejścia po godzinach do pomieszczenia magazynowego. Dziennik dostępu wskazywał kartę młodszego pracownika użytą o 22:48. Pracownik był w domu i nadal miał swoją kartę. Nagranie z kamer nie pokazało pracownika, ale zarejestrowało gościa, który wcześniej tego dnia przebywał przez pewien czas w pobliżu recepcji. Dochodzenie nie udowodniło dokładnie, w jaki sposób numer poświadczenia został przechwycony, jednak konsultant ds. bezpieczeństwa stwierdził, że stary system kart 125kHz nie zapewniał silnej ochrony poświadczeń. Grupa zarządzająca nieruchomością rozpoczęła wymianę starszych kart zbliżeniowych na bezpieczniejsze karty inteligentne i zaostrzyła procedury obsługi gości.

To właśnie taki incydent sprawia, że zespoły bezpieczeństwa przestają ufać stwierdzeniu „system działa poprawnie”. System może działać każdego dnia, a jednocześnie być zbyt łatwy do imitacji.

Skimming jest podstępny, bo nie wygląda jak kradzież

Tradycyjna kradzież klucza jest widoczna. Zaginiony klucz wywołuje alarm. Skradzona karta może zostać zgłoszona. Wyłamany zamek zostawia ślady. Skimming jest znacznie subtelniejszy. Właściciel karty może nigdy nie zauważyć, że coś się wydarzyło, ponieważ fizyczna karta pozostaje przy nim. Atakujący chce przejąć dane poświadczenia, a nie sam plastikowy identyfikator.

W ogólnym ujęciu skimming oznacza, że nieautoryzowany czytnik zbiera identyfikator karty, gdy znajduje się ona wystarczająco blisko, aby odpowiedzieć. Urządzenie może być ukryte, zamaskowane lub użyte w momencie, gdy karta jest odsłonięta. Konkretne metody są różne, a odpowiedzialne zespoły bezpieczeństwa powinny unikać publikowania szczegółów operacyjnych, które mogłyby pomagać przestępcom. Dla właścicieli budynków ważna jest zasada: jeśli kartę można odczytać bez wiedzy właściciela, a system ufa statycznemu identyfikatorowi, kontrola dostępu może być podatna na nadużycie.

Operator coworkingu w Berlinie zobaczył praktyczną wersję tego ryzyka. Członkowie nosili stare karty zbliżeniowe na smyczach, a podczas wieczorów networkingowych goście często mieszali się z użytkownikami przestrzeni. Po pewnym czasie operator zauważył powtarzający się dostęp do prywatnej sali spotkań przy użyciu poświadczenia byłego członka. Były członek nadal miał kartę w domu i zapewniał, że nigdy jej nikomu nie pożyczał. Operator ostatecznie przeszedł na system obsługujący szyfrowane poświadczenia, szybciej dezaktywował nieaktywne karty i zobowiązał recepcję do oddzielania stref dla gości od korytarzy dostępnych tylko dla członków podczas wydarzeń. Wniosek był bolesny, ale użyteczny: fizyczna karta nie jest jedynym elementem, który można narazić na kompromitację.

Dla kupujących szukających informacji o bezpieczeństwie kart dostępu, zapobieganiu klonowaniu kart RFID lub bezpiecznych kartach biurowych ta różnica jest kluczowa. Utrata samej karty nie jest jedynym zagrożeniem. Utrata kontroli nad jej tożsamością może być równie szkodliwa.

Dlaczego karty zbliżeniowe 125kHz nadal są tak powszechne

Skoro takie karty mają słabości, dlaczego nadal są tak często używane? Odpowiedź jest praktyczna. Wiele systemów kontroli dostępu 125kHz zainstalowano wiele lat temu i nadal działają. Czytniki są już zamontowane przy drzwiach. Pracownicy znają karty. Zamienne identyfikatory są tanie. Zarządcy nieruchomości unikają zakłóceń. Najemcy nie chcą skomplikowanej migracji. Dopóki drzwi otwierają się niezawodnie, ryzyko wydaje się teoretyczne.

Istotny jest także koszt. Przejście ze starszych kart zbliżeniowych na bezpieczniejsze karty inteligentne, poświadczenia mobilne lub czytniki wielotechnologiczne może oznaczać wymianę czytników, nowe karty, konfigurację oprogramowania, porządkowanie bazy danych, szkolenie personelu i koordynację z najemcami. W dużym biurowcu nawet prosta migracja poświadczeń może stać się pełnoprawnym projektem.

Modernizacja etapowa ogranicza zakłócenia

Regionalna firma ubezpieczeniowa w Manchesterze przez lata odkładała modernizację, ponieważ jej system kart 125kHz „nigdy nie sprawiał problemów”. Podejście zmieniło się po rutynowym audycie, który wykazał zbyt wiele aktywnych kart przypisanych do byłych podwykonawców, pracowników tymczasowych i dawnych dostawców. Audyt nie ujawnił aktywnego ataku, ale pokazał słabe zarządzanie poświadczeniami nałożone na przestarzałą technologię kart. Zarząd zatwierdził etapowe przejście na szyfrowane karty inteligentne, zaczynając od pięter zarządu, serwerowni i archiwów roszczeń. Stare karty tymczasowo pozostały przy drzwiach ogólnobiurowych, ale strefy najwyższego ryzyka zostały przeniesione jako pierwsze.

Takie podejście często jest najbardziej realistyczne. Nie każda organizacja może wymienić wszystko z dnia na dzień, ale obszary wysokiego ryzyka nie powinny czekać na idealny moment.

Zagrożeniem są nie tylko zewnętrzni przestępcy

Gdy ludzie słyszą o skimmerach, wyobrażają sobie osoby z zewnątrz kręcące się przy drzwiach. To może się zdarzyć, ale sytuacje wewnętrzne i półwewnętrzne są równie ważne. Byli pracownicy, podwykonawcy, personel sprzątający, kurierzy, goście przestrzeni współdzielonych, uczestnicy wydarzeń i dostawcy mogą spędzać czas w pobliżu kart, czytników, biurek i recepcji. Słaby system kontroli dostępu daje zbyt duże zaufanie każdemu, kto może pozyskać lub naśladować poświadczenie.

W budynku medycznym w Dallas kilka klinik dzieliło jedno lobby i tylny korytarz. Personel sprzątający miał karty dostępu do pracy po godzinach. Jedna z klinik stwierdziła później, że ograniczony pokój z dokumentacją został otwarty przy użyciu karty przypisanej do pracownika dostawcy, który twierdził, że karta nadal była w jego pojeździe. Budynek nie miał dowodu na skimming, ale zdarzenie ujawniło większy problem: zbyt wiele kart z szerokimi uprawnieniami, słaby przegląd dostępu dostawców i stare poświadczenia zbliżeniowe. Zarządca zmienił harmonogramy dostępu dostawców, ograniczył uprawnienia kart i rozpoczął migrację pomieszczeń ograniczonych na bezpieczniejsze poświadczenia.

Silny program bezpieczeństwa zakłada, że błędy i nadużycia mogą przychodzić z wielu kierunków. Celem nie jest paranoja. Celem jest ochrona warstwowa.

Statyczne identyfikatory zbyt łatwo budują zaufanie

Największy problem wielu starszych kart zbliżeniowych polega na tym, że system może zbyt mocno ufać prostemu, statycznemu identyfikatorowi. W silniejszym systemie poświadczeń karta i czytnik mogą korzystać z uwierzytelniania kryptograficznego, zdywersyfikowanych kluczy, bezpiecznej komunikacji lub innych zabezpieczeń, które znacząco utrudniają kopiowanie. W słabszym systemie głównym dowodem bywa sam numer karty.

Ma to znaczenie, ponieważ dzienniki dostępu mogą wprowadzać w błąd. Jeśli użyte zostanie sklonowane poświadczenie, log może pokazać nazwisko prawdziwego pracownika. Menedżer może oskarżyć niewłaściwą osobę. Zespół bezpieczeństwa może tracić czas na sprawdzanie niewinnego pracownika. System zapisuje zaakceptowany numer poświadczenia, a niekoniecznie osobę fizycznie stojącą przy drzwiach.

Dlaczego logi dostępu mogą mylić podczas dochodzenia

Laboratorium biotechnologiczne w Cambridge spotkało się dokładnie z takim zamieszaniem. Do ograniczonego pomieszczenia ze sprzętem uzyskano dostęp w weekend pod numerem karty badacza. Badacz był wtedy na konferencji w innym mieście. Laboratorium używało starszych kart zbliżeniowych do drzwi zewnętrznych oraz oddzielnej listy wejść do specjalistycznych pomieszczeń. Po incydencie firma przeniosła wrażliwe laboratoria na dostęp kartami inteligentnymi z silniejszym uwierzytelnianiem, dodała korelację z kamerami i wprowadziła okresową rewalidację kart. Najcenniejsza zmiana była kulturowa: menedżerowie przestali zakładać, że prawidłowy wpis w logu zawsze dowodzi fizycznej obecności wskazanej osoby.

To ważny punkt dla bezpieczeństwa obiektów. Dzienniki dostępu są użyteczne, ale słabe poświadczenia osłabiają znaczenie tych dzienników.

Jak atakujący wykorzystują normalne biurowe nawyki

Środowisko biurowe jest pełne przewidywalnych rutyn. Pracownicy przechodzą przez bramki w porannym szczycie. Karty wiszą na smyczach. Torby zostają przy stolikach w kawiarni. Goście stoją blisko recepcji. Podwykonawcy czekają przy korytarzach serwisowych. Ludzie przytrzymują drzwi innym, bo chcą być uprzejmi. Starsze systemy kart 125kHz nie były projektowane z myślą o świecie, w którym tania elektronika, współdzielone biura i swobodne eksponowanie poświadczeń są tak powszechne.

Kancelaria prawna w Nowym Jorku używała kart zbliżeniowych do dostępu pracowników i kart gości na piętro konferencyjne. Podczas przeglądu bezpieczeństwa konsultanci zauważyli, że pracownicy często zostawiali karty przypięte do płaszczy w otwartej szatni przy salach spotkań. Nic nie zostało skradzione, ale ekspozycja była oczywista. Nie trzeba było zabierać karty, aby stworzyć ryzyko; wystarczyła okazja do zebrania jej identyfikatora, jeśli technologia karty na to pozwalała. Firma zmieniła zasady obchodzenia się z kartami, przeniosła piętra pracownicze na bezpieczne poświadczenia inteligentne i dodała zamykane przechowywanie okryć oraz toreb gości podczas wrażliwych spotkań.

Słabość nie była wyłącznie techniczna. Była również behawioralna. Bezpieczeństwo kart zależy od tego, jak ludzie noszą i traktują poświadczenia w rzeczywistej pracy.

Etui blokujące RFID pomaga, ale nie rozwiązuje całego problemu

Niektóre organizacje wydają RFID blocking sleeves lub uchwyty na karty, aby ograniczyć nieautoryzowany odczyt. Mogą one pomagać, jeśli są używane prawidłowo, zwłaszcza w przypadku starszych poświadczeń, które muszą pozostać w użyciu podczas migracji. Etui ekranowane utrudnia przypadkowy skimming, ponieważ karta nie jest swobodnie czytelna, gdy znajduje się w osłonie. Nie jest to jednak pełne rozwiązanie. Pracownicy mogą wyjąć kartę i zapomnieć ją schować. Etui może się zużyć. Użytkownicy mogą nie lubić dodatkowego kroku. Karta i tak musi zostać odsłonięta, gdy jest przykładana do czytnika drzwiowego.

Budynek administracyjny uniwersytetu w Melbourne wydał etui blokujące po ocenie ryzyka starego systemu kart zbliżeniowych. Początkowo pracownicy używali ich przez kilka tygodni, później wielu zrezygnowało, ponieważ spowalniały wejście przy ruchliwych drzwiach. Uczelnia zrozumiała, że etui lepiej sprawdza się jako tymczasowe ograniczenie ryzyka niż jako strategia docelowa. Zachowała je dla wybranych działów, ale zaplanowała modernizację poświadczeń jako rozwiązanie długoterminowe.

Dla kupujących to ważna informacja. Akcesoria blokujące RFID mogą być elementem planu ochrony, ale nie powinny stać się wymówką do utrzymywania słabych kart kontroli dostępu bez końca.

Silniejsze rozwiązanie to migracja poświadczeń

Najskuteczniejszym długoterminowym rozwiązaniem jest odejście od podatnych, starszych poświadczeń na rzecz bezpieczniejszej technologii kontroli dostępu. Dla wielu organizacji oznacza to szyfrowane karty inteligentne, bezpieczne poświadczenia NFC, karty klasy DESFire, właściwie zarządzane poświadczenia mobilne lub dostęp wieloskładnikowy do wrażliwych stref. Dokładny wybór zależy od istniejących czytników, systemu kontrolerów, poziomu bezpieczeństwa, budżetu i potrzeb operacyjnych.

Magazyn logistyczny w Rotterdamie używał kart 125kHz do drzwi pracowniczych i stref oczekiwania kierowców. Firma nie chciała wymieniać wszystkich czytników jednocześnie, więc wybrała czytniki wielotechnologiczne, które mogły obsługiwać stare karty w okresie przejściowym oraz bezpieczne karty inteligentne dla nowych poświadczeń. Obszary wysokiego ryzyka, takie jak sterownia, szafa IT i klatka z towarami wysokiej wartości, zostały zmigrowane jako pierwsze. W ciągu dwunastu miesięcy stare karty wycofywano dział po dziale. Ograniczyło to zakłócenia, a jednocześnie stopniowo zamykało lukę bezpieczeństwa.

Takie podejście jest praktyczne dla wielu kupujących B2B. Pełna wymiana całego systemu pierwszego dnia nie zawsze jest konieczna. Migracja etapowa może ograniczać ryzyko przy zachowaniu kontroli nad budżetem i operacjami.

Uporządkuj bazę kart przed modernizacją

Wiele firm skupia się na technologii kart i zapomina o bazie dostępu. To błąd. Nawet bezpieczny system poświadczeń może zostać osłabiony przez złą administrację. Starzy użytkownicy pozostają aktywni. Zgubione karty nie są dezaktywowane. Dostęp podwykonawców nigdy nie jest przeglądany. Istnieją karty współdzielone. Karty tymczasowe stają się stałe. Pracownicy gromadzą kilka poświadczeń po zmianach działów. Uprawnienia do drzwi są szersze, niż powinny.

Zakład produkcyjny w Ohio przygotowywał się do przejścia z kart zbliżeniowych 125kHz na bezpieczne karty inteligentne. Podczas porządkowania bazy zespół bezpieczeństwa znalazł ponad 300 aktywnych kart przypisanych do osób, które nie pracowały już na miejscu. Część należała do podwykonawców z projektów zakończonych wiele lat wcześniej. Modernizacja stała się czymś więcej niż wymianą kart. Stała się resetem zarządzania dostępem. Zakład wprowadził zasady wygasania kart, przeglądy menedżerskie, grupy dostępu oparte na rolach i natychmiastową dezaktywację użytkowników po zakończeniu współpracy.

To jeden z najlepszych sposobów na zwiększenie wartości modernizacji kontroli dostępu RFID. Nie należy kopiować brudnej bazy danych do czystszej technologii.

Dodaj warstwy ochrony przy drzwiach wysokiego ryzyka

Nie każde drzwi niosą takie samo ryzyko. Wejście do lobby, aneks pracowniczy, serwerownia, magazyn farmaceutyczny, gabinet zarządu, laboratorium R&D, kasa i klatka magazynowa nie powinny mieć tej samej logiki bezpieczeństwa. Jeśli budynek nadal korzysta z kart zbliżeniowych 125kHz, drzwi wysokiego ryzyka potrzebują dodatkowej ochrony natychmiast.

Możliwe warstwy zabezpieczeń obejmują PIN plus karta, weryfikację biometryczną tam, gdzie jest to właściwe i zgodne z prawem, zatwierdzenie przez ochronę, weryfikację wideo, alarmy drzwiowe, reguły anti-passback, harmonogramy czasowe, zasady eskortowania gości i szybkie alerty dla wejść po godzinach. Odpowiednia warstwa zależy od środowiska. Celem jest uniknięcie polegania na jednym statycznym numerze karty przy wrażliwych przestrzeniach.

Prywatna sieć klubów fitness w Kalifornii używała starych kart zbliżeniowych do wejścia członków. Było to akceptowalne przy drzwiach ogólnych, ale pomieszczenia personelu i strefy obsługi gotówki wymagały większej kontroli. Po kilku podejrzanych wejściach po godzinach sieć tymczasowo zachowała karty zbliżeniowe dla członków, ale dodała silniejsze kontrole poświadczeń i ograniczenia czasowe dla stref wyłącznie pracowniczych. Później firma zaczęła wdrażać bezpieczniejszą technologię kart już w nowych lokalizacjach.

To realistyczna zasada bezpieczeństwa. Jeśli starsza karta musi pozostać, nie powinna otwierać wszystkiego.

Szkol pracowników bez budowania strachu

Ludzie często traktują karty swobodnie, ponieważ nikt nie wyjaśnia ryzyka prostym językiem. Szkolenie bezpieczeństwa nie musi być dramatyczne. Pracownicy powinni rozumieć, że karta dostępu jest bliższa kluczowi niż plakietce z nazwiskiem. Powinni unikać zostawiania kart bez nadzoru, pożyczania ich współpracownikom, trzymania kart w otwartych torbach, przypinania ich do płaszczy w miejscach publicznych i późnego zgłaszania utraty. Powinni też wiedzieć, że etui telefonów, portfele i uchwyty na karty mogą wpływać na odczyt, ale wygoda nie powinna wygrywać z bezpieczeństwem.

Firma software’owa w Austin poprawiła nawyki związane z kartami dzięki prostej kampanii wewnętrznej. Zamiast wysyłać długą politykę techniczną, zespół facility użył krótkich przypomnień: nie pożyczaj karty, zgłaszaj utratę natychmiast, trzymaj kartę poza publicznym zasięgiem i uprzejmie kieruj osoby wchodzące „na ogon” do recepcji. Firma wymieniła również stare karty w strefach bezpiecznych. Szkolenie zadziałało, ponieważ traktowało pracowników jak dorosłych, a nie jak podejrzanych.

Zachowanie ludzi jest częścią systemu bezpieczeństwa. Lepsze karty pomagają, ale nieostrożne nawyki nadal mogą tworzyć luki.

O co działy zakupów powinny pytać dostawców kart RFID

Przy zakupie kart kontroli dostępu warto zadawać dostawcom konkretne pytania. Czy technologia karty to niska częstotliwość 125kHz, wysoka częstotliwość 13.56 MHz, zgodność z NFC czy rozwiązanie dual-frequency? Czy poświadczenie korzysta z bezpiecznego uwierzytelniania, czy tylko ze statycznego identyfikatora? Czy jest kompatybilne z istniejącymi czytnikami? Czy dostawca może zapewnić bezpieczne opcje chipów, personalizację, kodowanie, zarządzanie UID i testy partii? Czy karta może być wydana z nadrukiem zdjęcia, numerem pracownika, zapasowym kodem QR lub wizualnymi elementami bezpieczeństwa? Jaka ścieżka migracji jest dostępna ze starszych kart zbliżeniowych na bezpieczne karty inteligentne?

Wymagaj konkretnych deklaracji bezpieczeństwa

Kupujący powinni również pytać o funkcje antyklonowania prostym językiem. Należy unikać ogólnych deklaracji typu „bezpieczna karta RFID”, jeśli nie wiadomo, co dokładnie czyni ją bezpieczną. Karta używana do kontroli dostępu w biurze powinna odpowiadać poziomowi ryzyka budynku. Drzwi do stołówki w magazynie i klatka centrum danych nie wymagają identycznych poświadczeń, ale oba rozwiązania powinny być dobrane świadomie.

Firma zarządzająca nieruchomościami w Singapurze zrozumiała to podczas standaryzacji kart dostępu w kilku budynkach biurowych. Dawny nawyk zakupowy polegał na zamawianiu „kompatybilnych kart zbliżeniowych” w najniższej cenie. Nowy dyrektor ds. bezpieczeństwa zmienił specyfikację. Dostawcy musieli wskazywać typ chipa, częstotliwość, format kodowania, obsługiwane systemy czytników, opcje personalizacji i ścieżkę modernizacji. Ta jedna zmiana zakupowa uchroniła firmę przed nieświadomym kupieniem kolejnej dekady słabych poświadczeń.

Prawdziwa lekcja ze skimmingu kart 125kHz

Podstępność skimmingu kart 125kHz nie polega wyłącznie na technologii. Polega również na fałszywym poczuciu bezpieczeństwa. Karta nadal otwiera drzwi. Czytnik nadal wydaje sygnał. Log dostępu nadal zapisuje nazwiska. Wszystko wygląda normalnie, dopóki zdarzenie nie pokaże, że system ufa zbyt małej liczbie dowodów.

We współczesnym bezpieczeństwie biurowym karta nie powinna być jedynie łatwa do odczytania. Powinna być trudna do skopiowania, właściwie zarządzana i powiązana z rozsądnymi regułami dostępu. Starsze karty 125kHz mogą nadal obsługiwać zastosowania niskiego ryzyka w niektórych środowiskach, ale nie powinny być traktowane jako silne poświadczenia dla wrażliwych obszarów. Jeśli organizacja je utrzymuje, powinna rozumieć ryzyko, ograniczać ekspozycję, zaostrzać administrację kartami i planować migrację.

Praktycznym rozwiązaniem nie jest panika, lecz modernizacja warstwowa. Przejrzyj bazę kart. Zidentyfikuj drzwi wysokiego ryzyka. Wyłącz stare i nieużywane poświadczenia. Przeszkol pracowników. Używaj etui ekranowanych tylko tam, gdzie mają sens. Dodaj dodatkowe kontrole do wrażliwych stref. Przechodź na szyfrowane karty inteligentne lub bezpieczne poświadczenia mobilne. Testuj kompatybilność przed masowym wdrożeniem. Współpracuj z producentem kart RFID lub integratorem kontroli dostępu, który potrafi wyjaśnić różnicę między podstawową kartą zbliżeniową a bezpiecznym poświadczeniem w języku możliwym do zweryfikowania przez Twój zespół.

Karta dostępowa to mały przedmiot, ale niesie duży poziom zaufania. Gdy to zaufanie opiera się na starym, statycznym identyfikatorze, złodzieje nie muszą wyłamywać drzwi. Wystarczy, że system im uwierzy. To jest prawdziwe ryzyko. I właśnie dlatego organizacje nadal korzystające z biurowych kart 125kHz powinny traktować bezpieczeństwo poświadczeń jako aktualny problem biznesowy, a nie dawny szczegół techniczny ukryty w plastikowej karcie.