För femton år sedan försvann en dator spårlöst från ett hotellrum i Berlin. Efter åtskilliga utredningar hittades inga tecken på inbrott och fallet föll i glömska.
Men inte på F-Secure. Personen som fick sin dator stulen jobbade på dataskyddsföretaget och hens kollegor kunde inte släppa fallet.
De ville undersöka hur det var möjligt att någon kunde vandra in i ett låst hotellrum utan att lämna några spår efter sig?
Kollegornas nyfikenhet sparkade igång en flera år lång utredning där de grundligt granskade nyckeltillverkaren Assa Abloys elektroniska låssystem Vision.
Nästan vad som helst kan bli universalnyckel
Systemet fungerar med radiofrekvenser och håller miljontals dörrar på kryssningsfartyg och i hotell låsta.
- Det har varit intressant att undersöka det här i 15 år, ibland mera, ibland mindre, säger datasäkerhetsforskaren Tomi Tuominen.
Genombrottet kom förra året.
Genom att kombinera små designfel lyckades forskarna hitta ett sätt att omvandla vilket som helst hotells nyckelkort till en universalnyckel - en nyckel som öppnar alla dörrar.
Det behövs inte mycket - hotell-, städskrubbs- och garagenycklar kan alla omvandlas till en universalnyckel. Hotellnyckeln kan vara i kraft eller så kan den vara fem år gammal.
Gammalt kryphål ledde till stöldvåg
Datasäkerhetsforskarna Timo Hirvonen och Tomi Tuominen håller detaljerna bakom universalnyckeln hemliga.
- Vi vill inte avslöja detaljerna i det här fallet eftersom man kanske inte hinner uppdatera alla system i tid. Men i praktiken används nyckelkortet till att söka upp fastighetens specifika identifikationskod, säger Tuominen.
F-Secure vill undvika fallet Cody Brocious, som avslöjade ett gammalt kryphål och gav upphov till en stöldvåg i USA.
Brocious arbetade på Mozilla och för sex år sedan avslöjade han ett kryphål i ett låssystem av företaget Onity. Med hjälp av kryphålet kunde man hastigt bygga ihop en universalnyckel.
Brocious offentliggjorde sitt fynd och med det en kod som kunde användas för att bygga en apparat att bryta sig in i hotellrum.
Långsam reaktion ledde till dyr prislapp
Det tog inte länge innan Brocious fynd ledde till en inbrottsvåg på amerikanska hotell. Brottslingen Aaron Cashatt uppgav sig ha brutit sig in i över hundra hotellrum.
Det enda han använde sig av var en apparat, bestående av sladdar, ett kretskort och ett 9-volts batteri. Onity reagerade långsamt och Cashatt kunde under ett års tid fritt vandra runt och gräva i olika hotellrum.
När Onity äntligen tog tag i problemet skickade företaget en räkning för uppdateringen till sina kunder. Många hotell vägrade betala för samma tjänst två gånger vilket kan innebära att sårbara lås fortfarande går att hitta.
Onitys uppdatering fick en dyr prislapp eftersom det inte räckte med att omprogrammera låsen - varje lås måste få ett nytt kretskort. I praktiken betydde det här 10 miljoner nya kretskort.
Hemlighetsmakeri för att inte upprepa gamla misstag
I stället för att offentliggöra sitt fynd vände sig Hirvonen och Tuominen genast till låstillverkaren. Sedan dess har de samarbetat med Assa Abloy för att täppa till kryphålet och uppdatera låssystemet.
- Nu måste hotellen uppdatera programvaran och omprogrammera varje lås. I praktiken betyder det här att någon måste gå från lås till lås och omprogrammera dem, en i taget, säger Hirvonen.
Operationen är omfattande men bleknar i jämförelse med Onitys krishantering.
På våren publicerade Abloy nya versioner av sin programvara och uppmanade hotellen att uppdatera sina låssystem.
Låstillverkaren och forskarduon prisar varandra för samarbetet.
Hotellnycklar har inte varit Hirvonens och Tuominens enda fokus.
- Vi har också i någon mån granskat andra nyckelkort och kan konstatera att andra låssystem som används i till exempel kontorsbyggnader är lättare att knäcka, säger Hirvonen.
För tillfället förefaller det som om låssystemet Visions kryphål inte utnyttjats.
- Om man vill bryta sig in i ett hotellrum finns det enklare sätt, påpekar Tuominen.
Artikeln är baserad på Yle Uutisets artikel "F-Secure löysi avaimen miljooniin hotellihuoneisiin", skriven av Teemu Hallamaa.