⚠️ JUICE JACKING: cosa c'è di VERO?

Immaginate di essere in aeroporto in attesa del vostro volo che però ha 40 minuti di ritardo. State scrollando annoiati sul telefono quando vi accorgete che la batteria è al 15%. Il vostro caricatore è nella valigia da stiva che avete già lasciato al check-in e sul telefono avete anche tutte le carte d'imbarco. Iniziate ad agitarvi, ma guardandovi intorno vedete una di quelle colonnine di ricarica pubbliche, quelle con i jack USB che spuntano fuori, e vedete anche alcune persone che stanno già caricando i loro dispositivi. Attivi. Vi avvicinate, collegate il telefono e iniziate a caricarlo. Quello che non sapete è che nel frattempo la colonnina sta copiando tutti i dati sul vostro dispositivo e li sta inviando ai server di un malintenzionato che l'aveva manomessa tempo prima. Siete appena stati vittime di Juice Jacking. Ciao a tutti e benvenuti in questo nuovo video in cui sbloccheremo una nuova ansia, quella per le colonnine di ricarica pubbliche. Faccio subito una promessa doverosa su questo argomento perché non voglio creare allarmismi inutili. Questa è una minaccia, come vedremo, ancora molto teorica. O meglio, è stato dimostrato che effettivamente è possibile attaccare qualcuno tramite queste colonnine e anche tramite semplici porte USB, ma non è il pericolo più imminente per noi. Perché ve ne parlo allora? Per due motivi. Il primo è che comunque meglio prevenire che curare. Fra l'altro stanno per iniziare le vacanze, entriamo in una di quelle situazioni in cui possiamo aver bisogno di usare delle colonnine di ricarica in giro, o comunque di attaccare il nostro telefono a caricatori che magari non conosciamo bene. Il secondo è che nel 2025 c'è stata una svolta molto importante su questo argomento che vorrei approfondire. Ma andiamo con ordine. Il termine juice jacking nasce nell'agosto del 2011 alla 19ª DEF CON di Las Vegas. La DEF CON, per chi non lo sapesse, è una delle conferenze hacker più importanti al mondo in cui ogni anno qualcuno tira fuori qualche nuova minaccia o dimostra che si può violare qualcosa che non era mai stato hackerato prima. Quell'anno un gruppo di ricercatori allestisce una finta colonnina di ricarica con tutti i cavetti per i vari dispositivi. Quando qualcuno arriva e collega il telefono, dopo qualche secondo vede sullo schermo del dispositivo un messaggio del tipo: "Guarda che se questa fosse stata una stazione di ricarica malevola, qualcuno adesso starebbe copiando tutti i tuoi dati." Brian Krebs, che è uno dei giornalisti di sicurezza informatica più seguiti al mondo, racconta conta la cosa sul suo blog e coni al termine Juice Jacking. Da quel momento verrà sempre usata quell'espressione ogni volta che si parla di attacchi a porte USB pubbliche. Ma come funziona in concreto un attacco di Juice Jacking? Come fanno a rubarci i dati usando semplicemente una porta USB a cui noi colleghiamo il nostro telefono? Partiamo da un presupposto: le USB, e parlo sia delle chiavette, dei cavi, sia delle porte USB, quindi quelle nei telefoni e nei computer, hanno due anime, passatemi il termine. Una è quella di ricarica: collego il mio cellulare al mio caricatore proprio per far salire il livello della batteria. L'altra invece è quella di trasmissione dei dati: infilo una chiavetta nel computer per salvare i video delle vacanze, quindi chiaramente c'è un trasferimento di dati da un dispositivo a un altro. Oggi quasi tutti i cavi USB servono a fare entrambe le cose. Se avete mai provato a collegare il vostro telefono al vostro computer, dovreste aver notato che compare un avviso che che dice qualcosa tipo: vuoi fare solo ricarica o vuoi usare il cavo anche per l'invio e la ricezione dei dati? Proprio perché il nostro cavetto riesce a fare entrambe le cose, quindi giustamente si chiede quale delle due operazioni stiamo cercando di fare. Se invece colleghiamo il telefono direttamente alla corrente, questo avviso non compare, perché gli smartphone moderni sono già da soli in grado di capire se dall'altra parte c'è un dispositivo che vuole comunicare o un semplice alimentatore per la ricarica. Quindi teoricamente se io collego il mio telefono a una colonnina di ricarica e mi arriva l'avviso "vuoi autorizzare il trasferimento dei dati?" io dico di no e sono a posto. Dov'è la minaccia? La minaccia è che non sempre ci prestiamo così tanta attenzione e soprattutto tendiamo un po' a sottovalutare la capacità del nostro telefono di avvisarci se rileva qualcosa di strano. Banalmente potremmo collegare il nostro telefono a una colonnina di ricarica vedere l'avviso che chiede vuoi trasferire i dati e pensare vabbè, sarà il mio telefono che non ha capito che questa è solo una colonnina per la ricarica. Invece magari il nostro telefono ci sta avvisando, ci sta dicendo questo dispositivo sta cercando di copiare i tuoi dati. Vi faccio un esempio pratico. Nel 2013, a un'altra grande conferenza annuale sulla sicurezza chiamata Black Hat, 3 ricercatori portano un progetto chiamato MagTense. MagTense è un caricabatterie modificato per iPhone, esteticamente identico a quello vero, ma che dentro ha un piccolo computer. Loro lo dimostrano dal vivo: collegano un iPhone e nel giro di qualche secondo il caricatore installa un'applicazione malevola sul telefono. La Apple chiaramente corregge subito la falla, ma intanto un messaggio era stato mandato. Non è detto che ci possiamo fidare ciecamente di un caricatore. Mi metto nei panni di un utente medio, non particolarmente esperto di tecnologia. Se mette in carica il telefono e compare l'avviso "Guarda, vuoi autorizzare il trasferimento dei dati?" magari fa anche fatica a capire che c'è qualcosa che non va. Il rischio che dica "sì, autorizzo" è abbastanza alto. Nel 2014 due ricercatori tedeschi fanno un passo avanti ancora presentando BadUSB, una chiavetta configurata in modo da infettare qualunque dispositivo in cui venisse inserita. In realtà con il loro progetto riescono a dimostrare che qualsiasi dispositivo USB, quindi non solo una chiavetta ma anche un cavo, un caricatore, una stampante, banalmente qualunque cosa abbia un chip dentro, può essere riscritto per fare cose diverse da quelle previste. Lo dimostrano con una serie di oggetti, ad esempio una chiavetta USB che si finge una tastiera ed è in grado di digitare comandi sul computer, comandi chiaramente scritti da un malintenzionato. La cosa preoccupante di tutti i dispositivi BadUSB e simili è che non c'è un modo per accorgersi dall'esterno che sono infetti, perché sembrano dispositivi normalissimi. L'infezione vive direttamente dentro al chip. Questo cosa significa? Che finché non lo inseriscono in un computer non mi posso accorgere che è malevolo, e infilarlo nel computer è rischioso proprio perché potrebbe essere malevolo. Nel 2018 arriva poi quello che secondo me è l'oggetto più affascinante di questa intera storia, cioè l'OMG Cable. Lo crea un ricercatore che si firma MG, alias Mike Grover. Esteticamente questo cavo è un normalissimo cavo per iPhone, indistinguibile da quello originale, solo che dentro la parte plastica del connettore c'è un microcontrollore completo. Quando lo collegate al telefono, il cavo apre una rete Wi-Fi a cui un attaccante nei dintorni può connettersi e prendere da lì il controllo dell'intero dispositivo. In tutto ciò va detto che di questi dispositivi esiste un vero e proprio mercato, e non pensiate che siano cose vendute nel dark web, i siti introvabili. Ci sono siti normalissimi che vendono dispositivi di questo tipo per finalità di sicurezza e per fare dei penetration test, cioè Ci sono persone che vengono pagate dalle aziende fior di quattrini per vedere se riescono a infilare qualche cavetto malevolo dentro al computer di un dipendente. Quindi questi negozi servono proprio a queste persone qui, ma chiaramente ne usufruiscono anche dei malintenzionati. Nel solco di questi casi, secondo me, merita una menzione anche il caso Fin7 o Carbanak, portato avanti proprio tramite chiavette USB infette spedite per posta. Ma magari di questo parliamo la prossima settimana, anche perché del gruppo Carbanak Veronica è un pezzo che vorrei parlare. Quindi abbiamo parlato di Mactans, BadUSB, OMG Cable, tutti progetti di ricercatori di sicurezza che hanno dimostrato che hackerare un telefono o un computer con un cavetto è possibile. Ma di casi effettivi, di viaggiatori che si sono ritrovati il telefono hackerato dopo averlo ricaricato in aeroporto, ce ne sono? La risposta è un po' complessa. Nel 2019 la procura di Los Angeles pubblica un avviso ai viaggiatori per le feste dicendo di stare attenti alle ricariche USB negli aeroporti. Quando i giornalisti chiedono: ok, ma ce lo state dicendo perché ci sono casi reali di attacchi? L'ufficio della procura ammette che in realtà casi non ce ne sono, era un avvertimento generico basato sul fatto che teoricamente questa cosa è possibile. Nel 2023 la sezione FBI di Denver posta un tweet che mette in guardia sulla stessa cosa, e anche qui allarme generale, ma Zero esempi specifici. A questo punto un giornalista della testata Ars Technica decide di fare il lavoro che nessuno aveva ancora fatto: prende tutti gli avvisi delle autorità, li compara tra di loro e scopre che in realtà riciclavano tutti lo stesso testo e tutti citavano le stesse fonti un po' vaghe, ma non c'erano casi su questo. Non esisteva un singolo episodio verificato di juice jacking nella realtà, anche perché come dicevo gli smartphone sono diventati molto bravi ad avvisare l'utente quando il telefono viene collegato a qualcosa che chiede un trasferimento di dati. Per carità, io sono assolutamente a favore della prevenzione, però non converrebbe spendere lo stesso impegno nell'avvisare gli utenti di reali pericoli, reali tecniche di attacco che hanno fatto dei reali danni, anziché fare allarmismo con tecniche dimostrate solo in laboratorio? Sarebbe stato meglio fare una campagna generica sui pericoli dietro alle chiavette USB. Trovate in giro o i cavi di ricarica acquistati su siti poco raccomandabili, piuttosto che farla sui rischi delle colonnine di ricarica se è un tipo di attacco che ancora non si è mai verificato. Tant'è che il caso della prossima settimana che vedremo non è sul Juice Jacking vero e proprio, ma sulle chiavette USB infette in generale, proprio perché, ripeto, di casi non ce ne sono ancora stati. Probabilmente non avrei neanche fatto questo video se non fosse stato per una ricerca uscita esattamente un anno fa, a maggio 2025, che mi ha dato un po' da riflettere. Questa ricerca svolta dall'Università di Graz in Austria parla di una nuova tecnica chiamata choice jacking. E il choice jacking è proprio l'attacco che fino a quel momento si pensava fosse un po' impossibile. Poco fa dicevo che i telefoni ci mandano sempre un avviso, un pop-up, con scritto: autorizzi questo computer? Oppure: vuoi fare un trasferimento di file o solo carica? Per anni questo avviso è stato considerato la protezione definitiva. Noi colleghiamo il telefono a una colonnina sospetta, il telefono dice solo carica o anche trasferimento, noi diciamo solo carica e la colonnina ha le mani legate. Chiaramente, come dicevo, può capitare anche che qualcuno autorizzi per sbaglio, però in linea generale eravamo abbastanza protetti. I ricercatori di Graz dimostrano che questa protezione è aggirabile. Il loro caricatore modificato si presenta al telefono in più ruoli contemporaneamente. Come prima cosa si finge una tastiera USB. Le tastiere USB hanno una caratteristica: il telefono presume che la persona che ha ha collegato la tastiera sia la stessa persona che la vuole usare sul telefono, per cui il telefono non fa molti controlli approfonditi. In pratica, quindi, cosa succede? Che l'utente inserisce il caricatore nella presa, lo collega al telefono. Dentro al caricatore c'è una tastiera che controlla l'hacker, ma il telefono pensa che chi ha infilato il cavo, quindi l'utente, il proprietario del telefono, sia la stessa persona che sta usando la tastiera, quindi non fa controlli. Dopodiché il caricatore vuole copiare i file del telefono e mandare quindi tutti i file al server. A quel punto all'utente sul telefono appare il pop-up: vuoi consentire il trasferimento dei dati? Prima che l'utente lo veda però, il caricatore, che come dicevo funge anche da tastiera, preme da solo il tasto Consenti prima che l'utente faccia in tempo a leggere. L'utente quindi vede il pop-up apparire e sparire e non ci fa magari neanche troppo caso, o comunque non ha tempo di rifiutare. Il choice jacking funziona su iPhone, su Android, in varianti diverse chiaramente a seconda del sistema operativo. Da maggio dell'anno scorso Apple e Google hanno rilasciato alcuni aggiornamenti di sicurezza, ma il punto è che si sta sempre inseguendo la minaccia e non si riesce mai a stare al passo. Tra il 2024 e il 2025 sono uscite ben 4 vulnerabilità ufficiali, tutte molto vicine a questo tema. Una su Android che permetteva di accedere ai contenuti del telefono tramite USB senza nemmeno sbloccare il telefono. Una su iOS che permetteva a un connettore USB su un iPhone sbloccato di accedere foto senza il consenso dell'utente. Altre due su telefoni Android legate al protocollo MTP, che è quello che gestisce il trasferimento dei file multimediali. In tutte e quattro i casi il problema era simile al choice jacking, cioè il sistema non chiedeva conferma quando avrebbe dovuto, oppure la chiedeva ma la cosa veniva aggirata. Quindi, anche se è vero che juice jacking e choice jacking ad oggi sono minacce più teoriche che effettive, è una continua rincorsa. Vengono sempre fuori nuove modi per fregare l'utente medio e dobbiamo stare veramente molto attenti. Io vi direi, consiglio spassionato, di usare solo i vostri cavi e di attaccarvi alle prese pubbliche solo quando strettamente necessario, perché non si sa mai. Portatevi una bella power bank, o se proprio volete stare sicuri, acquistate un USB Data Blocker, che è un piccolo adattatore che si infila fra il cavo e la porta USB del dispositivo e disattiva fisicamente il trasferimento dei dati. Quindi la colonnina potrà darvi solo carica carica senza prendere nulla dal telefono. Inoltre, ma questo forse un po' scontato, prestate attenzione ai pop-up del telefono che chiedono se volete fare solo carica o anche trasferimento. Mi raccomando, autorizzate il trasferimento solo se quella è l'operazione che effettivamente state facendo in quel momento. Se invece dovete solo caricare, non autorizzate nulla. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già questa tecnica e cosa ne pensate. E non perdetevi il caso delle USB Fin7 che tratteremo la prossima settimana, perché ci sarà da divertirsi. A presto!