Quão perigoso é o carregamento de smartphones em estações públicas?

Serviços profissionais para segurança de dados

O FBI e a FCC alertaram recentemente que os criminosos estão usando portas USB públicas para instalar malware e dispositivos de vigilância nos aparelhos. O especialista da Sophos, Paul Ducklin, testou vários smartphones e oferece dicas sobre como se manter seguro.

Se você nunca ouviu a palavra da moda em segurança cibernética "juicejacking", não entre em pânico. O termo ficou conhecido no início da década de 2010, mas ainda desempenha um papel na vida cotidiana dos smartphones - e seus avisos constantes atraíram recentemente uma nova e surpreendente atenção, inclusive do FBI. Primeiramente, vamos começar com uma breve explicação do conceito: as pessoas que estão em trânsito, especialmente em aeroportos, onde os carregadores de celular estão guardados na bagagem de mão ou já estão presos no porão do avião, geralmente se preocupam em carregar a bateria. O espectro da bateria vazia, que nos assombra desde o advento dos telefones celulares, ainda assombra o mundo dos smartphones e, apesar dos adaptadores de energia e similares, as pessoas aproveitam todas as oportunidades para recarregar suas baterias, especialmente quando viajam - apenas para o caso de não haver chance de fazer isso em um futuro próximo.

O que acontece nas suas costas

É aqui que entram os criminosos de juicehacking. Os smartphones geralmente são carregados por meio de um cabo USB projetado especificamente para transferência de energia e dados. E se houver um computador do outro lado da estação de carregamento que não esteja apenas fornecendo 5 volts CC, mas também tentando interagir com o telefone pelas suas costas? Resposta simples: você não pode ter certeza. Por esse motivo, tanto a Apple quanto o Google implementaram há muito tempo configurações padrão que eliminam o elemento surpresa, exibindo um aviso de segurança ao se conectar a um dispositivo desconhecido e perguntando se você deve confiar nele. Além do fato de que um usuário ainda pode ser induzido a confiar em um novo dispositivo, é teoricamente impossível obter dados pelas costas do proprietário, a menos que ele mesmo tome uma atitude.

Considerando os avisos recentes do FBI e da FCC, é, portanto, um tanto surpreendente que os criminosos estejam usando portas USB públicas para infiltrar malware e software de vigilância nos dispositivos. Para evitar dúvidas, você deve usar seu próprio carregador, se possível, e não confiar em cabos ou portas USB desconhecidos. Até porque ninguém pode saber quão seguro e confiável é o conversor de voltagem no circuito de carregamento.

Quão seguros são os dados?

Mas e quanto ao risco de informações privadas serem sugadas sub-repticiamente por um carregador que funciona como um computador host e tenta controlar um dispositivo conectado sem permissão? Os aprimoramentos de segurança introduzidos na sequência da ferramenta de juicejacking da Mactans em 2011 ainda são válidos?

O especialista da Sophos, Paul Ducklin, testou isso e, com base na conexão de um iPhone (iOS 16) e de um Google Pixel (Android 13) a um Mac (macOS 13 Ventura) e a um laptop com Windows 11 (compilação 2022H2), conclui que sim, as consultas ainda servem ao seu propósito. Primeiro, nenhum telefone se conecta automaticamente ao macOS ou ao Windows na primeira vez que se conecta, independentemente de estar bloqueado ou desbloqueado. Além disso, um pop-up de confirmação indica claramente que um dispositivo de terceiros deseja acesso, que deve ser ativamente confirmado.

No entanto, como o diabo está nos detalhes, os proprietários de smartphones podem jogar pelo seguro, apesar dessas belas barreiras de segurança.

Veja a seguir o que você deve procurar:

• Se possível, evite conectar plugues ou cabos de carregamento desconhecidos. Mesmo uma estação de carregamento bem configurada pode não fornecer a qualidade de energia e a regulagem de tensão desejadas. Evite também carregadores de parede baratos ou carregar com seu próprio laptop.
  
  
• Bloqueie ou desligue o telefone antes de conectá-lo a um carregador público ou ao computador de outra pessoa. Isso minimiza o risco de expor acidentalmente arquivos maliciosamente ativos. Isso também garantirá que o dispositivo seja bloqueado se for roubado de uma estação de carregamento para vários usuários.
  
  
• Se você possui um iPhone, talvez não confie em todos os dispositivos. Isso garante que os dispositivos previamente confiáveis que você pode ter configurado acidentalmente em uma viagem anterior não sejam esquecidos.
  
  
• Considere a possibilidade de comprar um cabo USB ou adaptador de plugue apenas para energia. Os plugues USB-A sem dados são fáceis de identificar porque têm apenas dois conectores elétricos de metal dentro da caixa nas bordas externas do soquete, em vez de quatro em toda a largura. Observe que os conectores internos nem sempre são imediatamente visíveis, pois não se estendem até a borda do soquete, de modo que os conectores de alimentação fazem contato primeiro.