juice jacking

Juice jacking to atak przez publiczny port ładowania USB albo podstawiony kabel, który oprócz prądu przesyła dane. Keeper Security opisuje go jako teoretyczny rodzaj cyberataku, w którym przestępcy wykorzystują publiczne porty USB lub skompromitowane kable, by uzyskać nieuprawniony dostęp do urządzenia ^[4]. Skutkiem może być kradzież plików z telefonu albo instalacja złośliwego oprogramowania. W praktyce jest to zagrożenie opisywane częściej jako możliwe niż jako obserwowane w konkretnych incydentach ^[5].

Jak działa

Złącze USB przenosi jednocześnie zasilanie i dane. Gniazdko sieciowe dostarcza tylko prąd, więc ładowarka podłączona do niego nie ma dostępu do danych telefonu ^[4]. Atak polega na tym, że ofiara podłącza telefon do portu, za którym zamiast zwykłego zasilacza stoi komputer atakującego. Keeper wymienia trzy drogi: złośliwy kod w stacji ładowania, złośliwy układ ukryty w kablu i zainfekowane kable zostawiane w miejscach publicznych w nadziei, że ktoś ich użyje ^[4]. Ten ostatni wariant przypomina baiting.

Po połączeniu urządzenie atakującego może próbować skopiować zdjęcia i dokumenty albo zapisać w telefonie złośliwe oprogramowanie (malware). Badacze z DEF CON w 2011 roku opisywali to jako możliwość pobrania wszystkich zdjęć i danych albo zapisania złośliwego kodu na urządzeniu ^[1]. Keeper zalicza juice jacking do ataków typu man-in-the-middle (MITM) ^[4].

Odmiany

Po pierwszych ostrzeżeniach producenci systemów mobilnych dodali pytanie o zgodę na połączenie danych. Na iPhonie jest to komunikat „Ufać temu komputerowi?”; Apple wyjaśnia, że zaufany komputer może synchronizować się z urządzeniem i mieć dostęp do zdjęć, filmów, kontaktów i innych treści ^[6]. Przed zaufaniem trzeba odblokować urządzenie kodem, jeśli jest ustawiony ^[6].

Nowsza odmiana, ChoiceJacking, obchodzi właśnie to pytanie. Zespół z Politechniki w Grazu opisał ją na konferencji USENIX Security 2025 ^[2]. Złośliwa ładowarka podszywa się pod urządzenie wejściowe, na przykład klawiaturę, i sama zatwierdza komunikat systemu ^[3]. Przebieg pokazuje schemat poniżej.

RYS. 1ChoiceJacking przez złośliwą ładowarkę

Zagrożenia i skutki

Keeper wymienia możliwe skutki: kradzież danych osobowych i danych uwierzytelniających, instalację oprogramowania szpiegowskiego (spyware) albo keyloggera, zablokowanie urządzenia przez ransomware i rozprzestrzenianie infekcji na kolejne urządzenia ^[4]. W przypadku ChoiceJacking autorzy badania podają, że atak dawał dostęp do wrażliwych plików użytkownika, takich jak zdjęcia, dokumenty i dane aplikacji, na wszystkich testowanych urządzeniach ośmiu producentów, w tym sześciu największych pod względem udziału w rynku ^[2]. U dwóch producentów pliki dało się pobrać także z zablokowanego telefonu ^[2].

Skala realnych ataków pozostaje niepotwierdzona. Spider's Web w kwietniu 2023 roku zauważał, że o tym oszustwie pisze się głównie w kontekście możliwego ataku, a nie zdarzeń, które miały miejsce ^[5]. Keeper podaje, że amerykańska Federalna Komisja Łączności nie ma potwierdzonych zgłoszeń kradzieży tą metodą ^[4].

W WordPressie

Juice jacking nie atakuje samej witryny WordPress, lecz urządzenie osoby, która nią zarządza. Telefon administratora bywa częścią logowania do panelu. Dokumentacja WordPressa zaleca włączenie uwierzytelniania dwuskładnikowego dla wszystkich administratorów i użytkowników uprzywilejowanych, między innymi przez aplikację TOTP albo klucz sprzętowy ^[7]. Aplikacja generująca kody jednorazowe (one-time password) działa zwykle na telefonie. Jeśli atakujący uzyska dostęp do danych tego urządzenia, uwierzytelnianie dwuskładnikowe (two-factor authentication) traci część swojej wartości. Dlatego telefon służbowy administratora warto traktować jak klucz do panelu i nie podłączać go do nieznanych portów.

Jak się bronić

Zalecenia są proste i nie wymagają specjalnej wiedzy:

• ładować telefon z gniazdka sieciowego przez własny zasilacz albo z własnego powerbanku ^[4];
• używać własnych, sprawdzonych kabli i oglądać porty oraz kable pod kątem śladów ingerencji ^[4];
• wybierać tryb „tylko ładowanie”, gdy telefon o to pyta, i nie ufać nieznanym komputerom ^[4];
• stosować przejściówkę blokującą linie danych, która pozwala tylko na ładowanie ^[5];
• aktualizować system, bo Apple w iOS 18.4 i Google w Androidzie 15 wprowadziły wymóg kodu albo biometrii przy zgodzie na transfer danych przez USB ^[3]; zob. aktualizacja oprogramowania.

Pomagają też ogólne zabezpieczenia telefonu: blokada ekranu i szyfrowanie urządzenia. Podobne ryzyko w publicznych miejscach dotyczy sieci bezprzewodowych; opisuje je hasło zagrożenia publicznych sieci Wi-Fi.

Historia i przykłady

Brian Krebs 17 sierpnia 2011 roku opisał pokaz na konferencji DEF CON w Las Vegas ^[1]. Badacze z firmy Aires Security zbudowali tam kiosk z darmowym ładowaniem telefonów; w ciągu trzech i pół dnia podłączyło do niego telefony co najmniej 360 uczestników ^[1]. Kiosk nie kradł danych, tylko wyświetlał ostrzeżenie, że z publicznego kiosku można bez zgody użytkownika pobrać informacje ^[1].

W kwietniu 2023 roku przed publicznymi ładowarkami ostrzegło w serwisie Twitter biuro FBI w Denver, zalecając korzystanie z własnych źródeł zasilania ^[5]. Na konferencji USENIX Security 2025 badacze z Grazu przedstawili ChoiceJacking jako nowy atak obchodzący zabezpieczenia wprowadzone przeciw juice jackingowi dekadę wcześniej ^[2]. Według streszczenia wszyscy producenci poza jednym potwierdzili problem ^[2].