Qu’est-ce que le juice jacking ?

Le juice jacking consiste à piéger un câble ou une borne de recharge USB pour voler des données ou installer un logiciel malveillant sur votre téléphone. Ce guide explique comment fonctionne cette attaque, d’où elle vient, quelles sont ses conséquences et quels gestes permettent de s’en protéger, en voyage comme en entreprise.

Le juice jacking : définition

Le juice jacking est une attaque utilisant les câbles USB ou directement le chargeur pour compromettre les périphériques dotés de port USB, notamment les téléphones portables.

Les câbles d’alimentation ne sont pas utilisés uniquement afin de charger la batterie de votre téléphone. Ces mêmes câbles permettent de transférer des données depuis et vers votre téléphone, par exemple pour importer vos photos sur votre ordinateur.

Certains de ces câbles peuvent subir une modification dans l’objectif de vous voler des données ou d’installer une application malveillante sur votre appareil.

Histoire du juice jacking

En août 2011, Brian Krebs aborde au Wall of Sheep à la convention hacker DEFCON le sujet du juice jacking. Il écrit le premier article sur le sujet sur son site internet Krebs on Security.

Fin 2012, la NSA publie un document afin d’expliquer aux employés du gouvernement l’importance de se méfier du juice jacking. Elle ordonne à travers le document de n’utiliser que des appareils personnels pour recharger son téléphone. Elle conseille également d’éviter les bornes publiques ainsi que de ne pas recharger son téléphone sur l’ordinateur d’un autre individu.

En mars 2014, un livre est publié, “Android Hackers Handbook”, contenant des parties consacrées aux dangers du juice jacking.

De nos jours, il existe de plus en plus de bornes de recharges publiques : les bornes de recharge USB dans les bus, gares, aéroports et autres espaces publics ont aussi fait leur apparition.

C’est pourquoi il est nécessaire de sensibiliser les personnes sur les dangers du juice jacking.

Désormais, lorsque vous connectez un câble de chargement à un appareil Android, ce dernier vous demande quelle utilisation du câble vous souhaitez. Vous pouvez choisir de charger uniquement votre téléphone ou d’autoriser le partage de fichier.

Modes de fonctionnement du juice jacking

Le juice jacking consiste à installer un câble ou un chargeur modifié pour compromettre les appareils qu’il charge.

Cela peut se faire de nombreuses façons, que ce soit par effraction, en envoyant des chargeurs en cadeau à une entreprise ou encore en soudoyant un collaborateur pour qu’il les installe.

Les différents lieux et objets menacés sont les bornes de recharges publiques dans les trains, aéroports et autres environnements publics lorsque la cible de l’attaque est peu spécifique. Il s’agira probablement d’une attaque de masse puisqu’il est difficile d’isoler la victime qui se connectera à ces bornes grand public.

Les entreprises sont aussi des cibles de choix. On peut imaginer qu’un individu mal intentionné envoie des chargeurs sous forme de goodies sponsorisés. Qui dirait non à un chargeur USB gratuit ? Surtout lorsqu’un carton entier est livré sur le pas de la porte de l’entreprise…

S’en suivra une probable distribution auprès des employés permettant d’infecter les mobiles de l’entreprise et d’accéder à des données sensibles.

Conséquences

Le périphérique en charge peut être compromis et permettre de gagner l’accès au réseau de l’entreprise. Une fois qu’il a accès au réseau, le hacker peut réussir à obtenir une grande quantité de données mettant en péril votre activité.

Le juice jacking peut engendrer un vol de vos données sensibles ou l’installation de logiciel malveillant sur votre téléphone.

Pendant la charge de votre téléphone, des données sont susceptibles d’être volées de façon automatique sur votre appareil. Certains outils permettent de chercher sur votre téléphone des informations personnelles, des identifiants de connexion ou encore des données bancaires en seulement quelques secondes.

Intéressons-nous maintenant aux différents logiciels malveillants qui peuvent être installés sur votre téléphone.

Une première possibilité est l’installation de logiciels publicitaires. Ces logiciels, aussi appelés adwares, s’installent sur votre téléphone afin de l’inonder de pop-ups et de publicités. Il est également possible que vos données telles que les sites que vous consultez ou vos informations personnelles soient collectées.

Il existe aussi des logiciels espion ou spyware, qui restent discrets sur votre téléphone et ont pour but de ne pas se faire remarquer. En fonction de votre téléphone et de son système d’exploitation, il peut autoriser le contrôle à distance de votre appareil ainsi qu’enregistrer l’audio, la vidéo et les saisies sur votre clavier. Le programme peut potentiellement capturer le contenu de vos messages, mails, réseaux sociaux et votre historique de navigation.

Le ransomware ou rançongiciel chiffre vos données pour vous empêcher d’y accéder. Il vous propose ensuite de payer une rançon afin d’obtenir la clé de déchiffrement ainsi que vos données personnelles ou d’entreprise.

Enfin, les crypto-mineurs sont des logiciels qui “minent” grâce à votre CPU ou GPU afin de produire de la cryptomonnaie consommant ainsi une quantité importante de batterie.

Conseils pour se protéger

Voici quelques conseils à appliquer pour vous aider à vous défendre contre le Juice jacking :

1 - Utiliser un condom USB, permettant de vous protéger contre le vol de données.

2 - Utiliser un câble “power only” empêchant le transfert de données. Ces câbles n’ont pas de circuit de données et ne peuvent être utilisés pour véhiculer autre chose que le courant électrique de charge.

3 - Utiliser un câble avec un commutateur de données pour pouvoir alterner entre power only et transfert de données. Ainsi, vous pouvez charger votre téléphone en toute tranquillité et transférer des données lorsque vous le connectez à votre ordinateur.

4 - Utiliser uniquement son propre chargeur USB, soit en le transportant soit en chargeant votre téléphone la nuit à votre domicile.

5 - Régler les paramètres par défaut lors d’une connexion USB afin que vous autorisiez ou non certaines actions.

6 - Éteignez votre appareil lorsque vous le chargez sur une borne de recharge. C’est loin d’être pratique, mais pirater un périphérique éteint est très difficile.

7 - Enfin, communiquez régulièrement à vos collaborateurs sur les dangers de se connecter à des chargeurs ou câbles USB inconnus.

Et en entreprise ?

Le juice jacking relève surtout du risque individuel, mais il appartient à une famille qui, elle, concerne directement les équipes sécurité : les supports physiques et visuels qui contournent la passerelle de messagerie.

Une clé USB abandonnée, un QR code affiché dans un hall, un câble de recharge modifié : dans les trois cas, aucun filtre email n’intervient et la décision appartient entièrement à la personne. C’est particulièrement sensible pour les collaborateurs en déplacement et les dirigeants, qui cumulent mobilité, appareils personnels et valeur de cible.

Le principe est détaillé dans notre article sur l’attaque par clé USB, où une étude de référence montre que 45 % des personnes branchent une clé trouvée tout en connaissant le risque.

Questions fréquentes