El juice-jacking quizás no es, todavía, uno de los ciberataques más conocidos, pero dada su capacidad para robar datos e infectar dispositivos móviles, es importante saber qué es y cómo funciona el juice jacking para evitar ser víctimas de ello, especialmente si somos de aquellos que cargamos nuestro móvil en estaciones o puntos de carga públicos.
En este artículo hablamos de:
¿Qué es el juice-jacking?
Es posible que una o más veces hayas aprovechado las estaciones de carga públicas en estaciones, aeropuertos, centros comerciales, restaurantes, etc., para cargar el móvil que está a punto de quedarse sin batería. Son estas estaciones de carga pública el punto de entrada para el ataque denominado juice-jacking (acuñado el término por el experto en seguridad Brian Kerbs en 2011).
Se trata de un ciberataque que aprovecha las estaciones de carga por USB para acceder al móvil de sus víctimas, puesto que al conectarnos a ella no solo se produce una carga de energía, sino que también pueden transferirse datos, dadas las capacidades de los cables y puertos USB. Transferencias que en el juice-jacking se pueden producir en los dos sentidos, para que el cibercriminal lleve a cabo el robo de datos personales o para que este infecte el dispositivo con alguno de los diferentes tipos de malware para llevar a cabo otros ataques. O ambos.
Los cibercriminales aprovechan la poca o nula seguridad que tienen estas estaciones o puntos de carga para manipularlos y usarlos para llevar a cabo este robo de datos informáticos e incluso usar el dispositivo móvil infectado para realizar otras acciones maliciosas, de las que hablaremos más adelante.
¿Cómo funciona el juice-jacking?
Cómo decíamos, en un ataque juice-jacking, el cibercriminal aprovecha la capacidad de transferencia de datos de los cables y puertos USB para infectar el dispositivo de malware y/o para robar datos personales y cualquier otra información que le interese del terminal.
Aunque la manipulación puede hacerse en el propio puerto USB al que se conectan los dispositivos, también es habitual que se deje como «olvidado» un cable de carga conectado a la estación de carga, este cable será el que se use para acceder al móvil.
Si bien es cierto que actualmente la mayoría de móviles desactivan las capacidades de transferencia de datos vía USB al conectarse a la estación de carga y requieren que se activen cuando detectan la conexión con otro dispositivo, como cuando conectas el móvil al ordenador y aparece un mensaje o pantalla similar a la de la imagen:
También es cierto que los puertos USB infectados pueden, en ocasiones, habilitar de manera sigilosa el modo de transferencia de datos en el móvil, de manera que no saltará ningún tipo de aviso ni sabremos que nuestro móvil está enviando o recibiendo información.
Una vez el cibercriminal tenga acceso a nuestro móvil, podrá robar nuestros datos, pero también hacerse con el control remoto del mismo, de manera que podrá usarlo para diferentes fines, aparte del robo de información, como introducir algún tipo de malware o para espiarnos, ya que podría hacer capturas de pantalla o activar la cámara de vídeo.
Tipos de ataques juice jacking
Los ataques de juice jacking pueden tener, cómo ya hemos dicho, diferentes fines, que es en lo que nos basamos para clasificarlos en diferentes tipos. Así, los ataques más habituales de juice jacking son:
- Ataque de robo de datos, especialmente información personal, credenciales y contraseñas.
- Infección de malware para realizar otras acciones maliciosas en el móvil, entre ellas atacar otros dispositivos utilizando nuestro móvil como puente para infectar otras estaciones o puntos de carga públicos.
- Inhabilitar el móvil, de manera que nosotros no podremos usarlo, pero el cibercriminal tendrá control absoluto sobre él, lo que, además, le permitirá usar el móvil como parte de un ataque DDoS.
¿Qué consecuencias tiene el juice-jacking?
Las peores consecuencias del juice-jacking son para nuestra privacidad y seguridad, ya que los cibercriminales que usan este tipo de técnica, pueden acceder a una gran cantidad de información personal almacenada en nuestro terminal; muchos lo usamos para conectarnos a internet y realizar una gran cantidad de trámites, incluso tenemos tarjetas de crédito asociadas a él, para poder usarlo como medio de pago, también accedemos a nuestro correo o cuentas de usuario en redes sociales y otras plataformas. Al conectarnos a una estación de carga pública vía USB, toda esa información puede quedar en manos de un cibercriminal.
Además, pueden infectar nuestro dispositivo con malware, convirtiéndose en una amenaza persistente, de la que puede que tardemos en ser conscientes.
Perder archivos o información de nuestros móviles es tan perjudicial y peligroso para nuestra privacidad y seguridad, como lo es perderlos de nuestro ordenador, especialmente cuando se trata de información personal, nuestra o de terceros (si has perdido accidentalmente o de manera intencional archivos de tu ordenador, en este artículo te explicamos cómo recuperar archivos borrados de un disco duro).
¿Cómo evitar el juice-jacking?
La mejor manera de evitar el juice-jacking es no usar estaciones o puntos de carga públicos, de la misma manera que recomendamos no conectarnos a redes WiFi públicas si vamos a acceder a nuestras cuentas de usuario e introducir credenciales.
Pero como puede que en alguna ocasión o emergencia, necesites cargar tu móvil en uno de estos puntos públicos, lo primero que debes hacer es asegurarte de que al conectar el USB al móvil no se transferirán datos durante la carga (lo encontrarás en ajustes). Y si al conectar el móvil al punto de carga, aparece un mensaje tipo «Usar USB para…» o «Confías en este dispositivo…», escoger la opción de solo carga o, mejor, desconectar el móvil del punto de carga, porque es un indicador de que algo no funciona como debería y de que el punto podría estar manipulado.
También puedes recurrir a estos puntos de carga usando un cable de carga USB solo de carga, es decir, que no tenga la capacidad para transferir datos (se venden y no es difícil encontrarlos). O usar un adaptador USB que bloquee la transferencia de datos, como el que veis en la imagen y que cumple con la misma función que el cable de carga solo.
Y si no queréis quedaros sin batería en vuestros dispositivos móviles cuando estáis fuera de casa, lo mejor es llevar una power bank o batería de recarga portátil con vosotros, de esa manera no tendréis que conectar vuestro dispositivo a ninguna estación o punto de carga público.
Si quieres evitar la pérdida y robo de información personal de tu móvil, la mejor medida de seguridad es, siempre, ser precavido y evitar los riesgos (igual que hacemos al encriptar un USB del trabajo o con información confidencial, para evitar que nadie pueda acceder a su contenido en caso de pérdida o robo).