Cuando cargamos nuestros dispositivos móviles en casa tenemos la certeza de que nada puede ocurrir, el cubo que contiene el enchufe está directamente conectado a la corriente eléctrica, y el cable USB a nuestro teléfono o tablet, nada puede salir mal.
Pero si echamos un vistazo a los puertos USB de carga públicos, veremos que hay una pieza faltante: el cubo del enchufe, pues está conectado directamente a la corriente eléctrica sin este intermediario, y es aquí donde podemos empezar a sospechar.
La carga de dispositivos sin el cubo nos recuerda mucho a la carga a través de una computadora, únicamente con el cable USB, y es aquí donde nos damos cuenta que podemos hacer diferentes cosas con este tipo de conexión.
Si intentamos cargar nuestro teléfono a la computadora, nos aparecerán diversas opciones como utilizar el teléfono como dispositivo de almacenamiento para el ordenador, transferencia de archivos fotográficos, utilizar el modo solo carga, e incluso configurarlo en modo de instalación de controladores automático.
Por desgracia, no podemos saber qué hay del otro lado de la pared en ese puerto de carga público en el tren, restaurante o incluso el aeropuerto que con frecuencia nos ofrecen esta facilidad, y es entonces cuando podemos caer en la trampa de ciber delincuentes.
Así es, muchas veces los puertos pueden llegar a hacer algo más que cargar sin que nos demos cuenta, realizando funciones como acceder a nuestro teléfono en segundo plano sin que nos demos cuenta mientras pensamos que nuestro dispositivo sólo se está cargando.
Y no son casos aislados y raros, de hecho este fenómeno se ha detectado en prácticamente en todas partes del mundo y es más frecuente de lo que pensamos, al grado de tener un nombre para este método de delincuencia: Juice Jacking.
¿Qué es exactamente el Juice Jacking y en qué consiste?
El Juice Jacking es el nombre que se le ha dado a los ataques digitales que se dan a través de puertos de carga USB, su principal característica es que los puertos USB etiquetados como solo carga, de hecho tiene doble función que está relacionado con el acceso a datos del dispositivo.
Este tipo de ataques se han venido registrando formalmente desde el 2011 gracias a DEF CON, una convención para hackers éticos que han estado monitoreando esta y otras actividades ciber delictivas para hacerlas de conocimiento público.
Se han hecho ya diversas investigaciones a lo largo de los años, como el publicado en 2012 por el experto de seguridad, Kyle Osborn que identificó un tipo de ataque denominado P2P-ADB, que utiliza los puertos USB tipo OGT para interconectar un móvil de un delincuente con el de su víctima.
Esta investigación permitió ver con lujo de detalles cómo los delincuentes podían desbloquear teléfonos y acceder a claves de autenticación como los de Google.
En 2013, estudiantes y graduadios del Tecnológico de Georgia, también publicaron las conclusiones de sus pruebas utilizando «Mactans», que se podría ejecutar a través de puertos de carga USB de móviles.
Ellos fueron capaces de construir cargadores con materiales baratos y demostrar que cualquier persona mal intencionada podía burlar las medidas de seguridad de los iPhone, además que realizar procesos ocultos en segundo plano de su sistema operativo.
En 2014, cuando se hicieron más famosas las tablets, se incluyeron estos dispositivos en las investigaciones del momento realizados por el equipo de Aries Security y Wall of Sheep.
Ambos desarrollaron una estación de carga llamada «video jacking» que era capaz de utilizar el cable de carga de los dispositivos Android para prácticamente grabar la pantalla de la víctima y así obtener datos de valor, burlando protocolos de seguridad MHL o como los SlimPort, de igual forma para los iPhone con su conector tipo lightning.
Para el 2018, investigadores de Symantec identificaron un nuevo tipo de ataque denominado «Trustjacking», que era más peligrosa porque continuaba funcionando incluso luego de haber desconectado el dispositivo de la fuente de carga infectada.
Luego de haber cargado un iPhone o iPad en este puerto público contaminado, el Trustjacking entraba en acción cuando la víctima intentaba conectar su dispositivo móvil al ordenador a través del USB, creando un acceso de confianza al que se puede acceder incluso desde el WiFi.
Pero no todo se limitaba al propio puerto, también un investigador demostró que podía suceder a través de un puerto limpio pero un cable prestado contaminado. Denominado como «cable O.MG» trata de un cable con un microcontrolador en su interior.
El cable alterado O.MG es capaz de interceptar la información importante para permitir acceder a un dispositivo, dicha información es emitida de forma remota a través del WiFi del local. Por lo que aceptar cables de desconocidos también es un peligro potencial de seguridad.
El problema de seguridad se salió de control especialmente en las grandes urbes, al grado de que las autoridades se han visto obligados a alertar a los ciudadanos, como cuando en 2019 el fiscal de la ciudad de Los Ángeles, tuvo que emitir un anuncio de advertencia público sobre el robo de datos en sus viajes.
Esto es debido a que estos puertos maliciosos normalmente se encuentran en sitios de gran afluencia como los aeropuertos, así que en fechas importantes como los viajes de navidad, era necesario realizar estas campañas de seguridad.
Cómo han reaccionado las empresas telefónicas y qué recomendaciones dan para blindar nuestros dispositivos móviles
Apple ha tomado ya medidas para tratar de reducir el impacto de los ataques Juice Jacking, aunque es difícil llevar el paso a los métodos cada vez más innovadores que tienen los delincuentes de robar datos que cada vez es diferente para burlar las nuevas medidas.
Es por eso que se recomienda ampliamente mantener el sistema operativo de nuestros dispositivos siempre actualizados, pues contienen lo último de parches de seguridad cada vez que es detectada una nueva variante de ciber delincuencia.
Vulnerabilidades como Mactans antes mencionado, ya se han implementado varios parches en los dispositivos con iOS.
Android tampoco se queda atrás y ha implementado un «tope» al momento de enchufar nuestro cable de carga y detecta un ordenador del otro lado. Despliega un mensaje de verificación donde le pregunta al usuario qué tipo de modo desea activar la conectividad.
En este mensaje existe la opción «solo carga» para evitar que cualquier clase de dato o información pase por el cable, únicamente corriente eléctrica que todos los Android muestran desde la versión 4.2.2 (Jelly Bean).
Debido a estos incontables parches para móviles, es que de hecho no es necesario descargar los famosos antivirus pues no son necesarios. De hecho, muchos de estos “antivirus” que encontramos en las tiendas app, ni siquiera tienen la opción de escanear por malwares, más bien se dedican a otras cosas como limpiar el caché o eliminar archivos duplicados para liberar espacio de almacenamiento.
Prácticamente tanto Android como iOS, ya cuentan con sus propios protocolos antimalware, por lo que los usuarios no deben preocuparse de nada más que llevar una actividad segura como no descargar apps fuera de la tienda oficial o no pulsar en enlaces sospechosos tipo phishing disfrazados de mensajes de premios o cupones fraudulentos.
Así que en cuanto a los sistemas operativos el usuario prácticamente no necesita hacer nada más que mantener actualizado su Android o IOS. Pero también existen otras prácticas que prácticamente te pueden mantener alejado de estos peligros.
Esta práctica es básicamente no utilizar puertos USB públicos y mejor siempre cargar con nuestros propios cargadores de cubo, haciendo uso directamente de las tomas de corriente normales, que de hecho, son más fáciles de encontrar.
Otra práctica es optar por comprar un banco de energía, estos dependiendo de su capacidad pueden ayudar a cargar hasta dos veces tu teléfono sin necesidad de ir buscando un sitio donde detenerte a cargar, tal vez obligándote a consumir en una cafetería o haciéndote detenerte en un restaurante cuando más prisa llevas.
Los bancos de energía prácticamente pueden mantener tu teléfono cargando en el bolsillo mientras te desplazas, y actualmente son tan compactos que puedes llevar un par en el bolso o la mochila.
En caso de que te hayas dejado tu cargador en casa o hayas olvidado poner a cargar tu banco de energía y solamente tienes la opción de usar una fuente de carga USB pública, la mejor opción es hacerlo manteniendo el teléfono apagado. Con estas tres opciones estarás libre de toda amenaza.
