Negli ultimi anni anche in Italia si è diffuso l'utilizzo di serrature smart e sistemi di self check-in nelle strutture ricettive, dagli hotel ai bed & breakfast. Queste soluzioni offrono agli ospiti un accesso autonomo e flessibile, eliminando la necessità di consegna fisica delle chiavi. Tuttavia, come ogni dispositivo IoT applicato alla sicurezza, portano con sé nuovi rischi che le tradizionali serrature meccaniche non hanno mai dovuto affrontare.
Il tema è diventato ancora più attuale: con i divieti comunali sulle key box (Milano dal 2026, Firenze già dal 2025) e l'obbligo di identificazione de visu confermato dal Consiglio di Stato, le serrature elettroniche sono oggi l'alternativa indicata dagli stessi comuni per il check-in autonomo. Ne parliamo nella nostra guida alle normative 2026 sul self check-in. Proprio per questo, sceglierle bene è fondamentale.
In questo articolo esaminiamo a fondo le principali criticità riscontrate nei sistemi smart lock per self check-in e vediamo come sia possibile mitigarle attraverso soluzioni progettuali più sicure.
Debolezze hardware
- Componenti esterni smontabili: tastierini e moduli di lettura spesso alloggiano relè e cablaggi accessibili, consentendo di manipolare o cortocircuitare i fili dopo aver rimosso il pannello.
- Scarsa segregazione interna: in molti dispositivi il meccanismo di sblocco risiede nel terminale esterno, anziché in un modulo protetto all'interno della porta, rendendo vano qualsiasi sforzo di blindatura esterna.
Lacune software
- Codici prevedibili o riutilizzabili: PIN statici o algoritmi comuni su più serrature permettono di generare codici validi per più dispositivi.
- Assenza di limiti ai tentativi: senza blocchi o timeout, un attacco di forza bruta può testare migliaia di combinazioni fino a scoprire il PIN.
- Credenziali di default: interfacce di debug o amministrative protette da password preimpostate restano spesso inalterate, aprendo "backdoor" digitali.
Vettori wireless
- Intercettazione delle comunicazioni: Bluetooth o Wi‑Fi non sempre cifrati espongono comandi di apertura e credenziali di rete in chiaro.
- Relay attack: tecniche di rilancio del segnale BLE possono far credere alla serratura che lo smartphone autorizzato sia nelle vicinanze, pur essendo lontano.
Mantenimento e ciclo di vita
Molti prodotti low‑cost esauriscono gli aggiornamenti firmware dopo 1–2 anni, lasciando vulnerabilità note senza patch. L'eccessiva dipendenza da servizi cloud esterni può inoltre rendere inoperante il sistema in caso di spegnimento o interruzione del servizio.
Geva Elettronica: sicurezza integrata
Geva Elettronica affronta le principali criticità con un'architettura sicura e resiliente, la stessa che equipaggia i sistemi per B&B e affitti brevi e il controllo accessi GEVINO.
Comando serratura su bus RS485
Il terminale esterno (tastierino o lettore) comunica tramite RS485 con un modulo di controllo interno, collocato dietro alla porta o in un quadro protetto.
- Nessun relè accessibile all'esterno
- Antimanomissione: taglio o scollegamento del bus non apre la serratura e mantiene la porta bloccata
Codici temporizzati e offline
- Monouso e limitati: ogni codice ha validità esclusiva per l'intervallo di soggiorno e diventa inutile al termine, eliminando riuso o brute forcing prolungato
- Verifica offline: la serratura riconosce i codici senza connessione Internet, azzerando i rischi di intercettazione o downtime del cloud
Badge RFID per accessi successivi
Dopo l'apertura iniziale via PIN, all'ospite viene fornita una card RFID valida per tutta la durata del soggiorno.
- Finestra di esposizione del PIN ridotta a pochi minuti
- Accessi ricorrenti gestiti da badge, senza richiedere codici numerici
Indipendenza dal cloud
Una volta generati i codici, il sistema funziona autonomamente, garantendo continuità operativa anche in assenza di rete o di supporto cloud a lungo termine.
Conclusione
Mentre molte smart lock cedono a manomissioni fisiche, falle software e attacchi wireless, il sistema Geva Elettronica si distingue per un design che mette la sicurezza al primo posto. L'uso di un bus RS485 protetto, la generazione sicura di codici temporanei, il supporto offline e l'impiego di badge RFID assicurano un'esperienza di self check‑in comoda ma a prova di intruso.