Podłączenie telefonu do zainfekowanego lub zmodyfikowanego portu USB niesie za sobą poważne zagrożenia. Atak tego typu nazywa się w cyberbezpieczeństwie juice jackingiem. Gdy podłączysz telefon do takiego gniazda, haker może zaszkodzić Ci na dwa główne sposoby: kradnąc Twoje prywatne dane lub instalując złośliwe oprogramowanie (malware).
Główne zagrożenia
- Kradzież danych (Data Theft): Standardowy kabel USB służy zarówno do ładowania, jak i do przesyłania plików. Zhakowane gniazdo może automatycznie skopiować z Twojego telefonu zdjęcia, filmy, listę kontaktów, SMS-y, a nawet pliki systemowe i hasła.
- Instalacja złośliwego oprogramowania (Malware): Napastnik może wgrać do pamięci telefonu wirusa, oprogramowanie szpiegujące (spyware) lub trojana. Taki program działa w tle i pozwala hakerowi na stały podgląd Twojego ekranu, śledzenie lokalizacji GPS czy przechwytywanie haseł do bankowości mobilnej.
- Przejęcie kontroli nad urządzeniem (Atak HID): Zmodyfikowane gniazdo może udawać podłączoną myszkę lub klawiaturę (tzw. urządzenie HID). Komputer ukryty w gnieździe może w ułamku sekundy „wyklikać” i wpisać komendy, które odblokują telefon, zmienią ustawienia bezpieczeństwa lub pobiorą niebezpieczne aplikacje.
Jak bezpiecznie ładować swoje urządzenie z publicznych ładowarek USB (lotniska, dworce, hotele, tramwaje, pociągi, obce samochody itp.).
Są cztery popularne rozwiązania:
- Najbezpieczniejsza praktyka to własna ładowarka + własny kabel podłączone do gniazdka elektrycznego 230 V. Bezpieczeństwo bardzo wysokie ★★★★★
- Użycie kabla tylko do ładowania (charge-only). Linie danych są nieobecne/niepodłączone w takim kablu. Kabel musi być wyraźnie oznaczonego: USB-C charge-only / power-only / no data. Uzdolnieni politechniczne mogą przygotować taki kabel samodzielnie, pozbawiając kabel żył przesyłu danych. Bezpieczeństwo wysokie ★★★★☆
- Użyć blokującą przejściówkę USB data blocker („USB condom”). Adapter wkładany pomiędzy port i wtyczkę normalnego kabla, który odcina linie danych. Bezpieczeństwo wysokie ★★★★☆
- W nowszych smartfonach często możemy się spotkać z rozwiązaniem, które poniekąd stanowi zabezpieczenie przez juice jackingiem. Po podłączeniu sprzętu do ładowania z wykorzystaniem złącza USB, widzimy pytanie: czy chcemy, by przesyłać też dane. Korzystając z publicznej ładowarki USB, oczywiście powinniśmy zabronić przesyłania danych. Bezpieczeństwo średnie ★★★☆☆
Orientacyjne kolory i role przewodów w typowym kablu USB (w zależności od typu i producenta mogą występować różnice)
| Przewód | Numer linii | Sygnał | Rola |
| czerwony | 1 | VBUS | +5 V | USB 3.0 max 0,9 A | USB-C 3.x 3 A, USB-PD 5 A |
| biały | 2 | D - | transmisja danych Data - |
| zielony | 3 | D+ | transmisja danych Data + |
| czarny | 4 (5 w mikro- i mini-USB) | GND | - masa |
| fioletowy | 5 | SSRX - | odbiór danych USB 3.0 |
| pomarańczowy | 6 | SSRX + | odbiór danych USB 3.0 |
| czarny | 7 | GND DRAIN | ekran dla par różnicowych połączony z masą USB 3.0 |
| żółty | 8 | SSTX - | nadawanie danych USB 3.0 |
| niebieski | 9 | SSTX + | nadawanie danych USB 3.0 |
Czytaj także:
- iOS and Android juice jacking defenses have been trivial to bypass for years
- Juice jacking
- Omówienie standardów USB od wersji 1.0 do 4.0
Uwaga - wszelkie treści na blogu letheko.pl powinny być traktowane jako subiektywna ocena tematu dokonana przez autora tekstu, Może to stanowić punkt wyjścia do zainteresowania się i zrozumienia zagadnienia, jednak nie zastąpi własnej pogłębionej analizy i oceny. Jeśli masz do czynienia z konkretnym zagrożeniem lub incydentem, skontaktuj się ze specjalistą ds. cyberbezpieczeństwa. Podejrzewasz, że padłeś ofiarą ataku, natychmiast zgłoś to do CERT Polska – czas ma tu kluczowe znaczenie.
