Juice jacking es el robo de datos o la instalación de malware que ocurre cuando enchufas tu móvil a un cargador público manipulado. El cable USB que parece inocente transporta dos cosas a la vez: corriente y datos. Y ahí está el truco. Ese puerto USB del aeropuerto, del tren o de la cafetería puede llevar firmware modificado capaz de leer tu memoria mientras tú crees que solo recargas batería. El usb público riesgo no es paranoia de friki: el FBI lo mencionó públicamente en 2023 desde su oficina de Denver. Una carga maliciosa tarda segundos en lanzarse. Aquí te contamos cómo funciona el puerto usb ataque, por qué casi nunca te pasará, y por qué aun así deberías llevar tu propio cargador.
Qué es el juice jacking y cómo funciona técnicamente
El conector USB clásico tiene cuatro pines: dos para la corriente (alimentación y tierra) y dos para los datos. Cuando conectas el móvil a un puerto comprometido, esos pines de datos siguen activos.
El atacante coloca un microcontrolador oculto detrás de la toma. En cuanto detecta un dispositivo, intenta establecer comunicación de datos. Si tu teléfono confía en el host, la puerta queda abierta.
Hay dos modalidades clásicas. El robo de datos copia fotos, contactos, contraseñas guardadas o tokens de sesión. La inyección de malware instala software espía o un troyano persistente que sigue funcionando cuando ya estás en casa.
Existe una variante llamada video jacking, demostrada en la conferencia DEF CON 24 (2016). Aprovecha el protocolo MHL/SlimPort para duplicar tu pantalla en tiempo real. El atacante ve todo lo que tecleas, incluido el PIN del banco.
De dónde viene el término y casos reales documentados
El término nació en 2011. El investigador Brian Krebs lo acuñó tras una demostración en la DEF CON, donde un kiosco de carga gratuito mostraba un mensaje a quien picaba: tu dispositivo podría haber sido comprometido.
En 2019 el fiscal del distrito de Los Ángeles emitió un aviso oficial recomendando no usar estaciones de carga USB públicas. En abril de 2023, el FBI de Denver publicó un tuit pidiendo evitarlas y la FCC mantiene una página informativa sobre el tema.
Conviene la honestidad periodística: a día de la publicación de este artículo no existe un caso confirmado y documentado de un usuario real víctima de juice jacking en estado salvaje. Las demostraciones son de laboratorio. Eso no significa que sea imposible, significa que el riesgo es real pero la probabilidad, baja. Los cargadores públicos manipulados existen como prueba de concepto; lo que falta son víctimas con nombre y apellido.
Esta dinámica recuerda a otras amenazas más teatrales que estadísticas. Algo parecido pasa con el malvertising en anuncios maliciosos, donde el vector existe pero la mayoría de infecciones reales llegan por rutas más aburridas y eficaces.
El hardware del ataque: cables y estaciones trampa
El puerto usb ataque no siempre vive en la pared. A veces vive en el cable.
El ejemplo más conocido es el O.MG Cable, fabricado por el investigador MG. Por fuera es idéntico a un cable Lightning o USB-C normal. Por dentro lleva un servidor wifi, almacenamiento y capacidad de inyectar pulsaciones de teclado a distancia. Se vende abiertamente como herramienta de pentesting.
Las estaciones de carga falsas son el segundo vector. Un atacante sustituye un cargador legítimo de un evento o coloca uno propio en una zona de paso. La carga maliciosa empieza en cuanto conectas.
- Cables manipulados: indistinguibles a simple vista, con electrónica embebida.
- Estaciones públicas comprometidas: kioscos en aeropuertos, hoteles o centros comerciales.
- Power banks regalo: baterías externas con firmware modificado entregadas como obsequio promocional.
- Puertos USB en transporte: trenes, aviones y autobuses con tomas de origen dudoso.
El denominador común: confías en hardware que no es tuyo. Y la confianza, en seguridad, es justo lo que te cuesta caro. La misma lógica de aprovechar tu confianza opera en técnicas como el HTML smuggling para evadir la seguridad del email, donde el atacante explota que el sistema da por buenos contenidos aparentemente normales.
Cómo protegerte del usb público riesgo
La buena noticia: defenderse es barato y casi siempre pasivo. No necesitas un máster en ciberseguridad, necesitas un par de hábitos.
El sistema operativo ya te ayuda. Desde Android 4.2.2 y iOS 7, conectar a un equipo desconocido lanza un aviso preguntando si confías en el dispositivo. Si dices que no, solo pasa corriente. Di siempre que no en un puerto público.
| Medida | Eficacia | Coste |
|---|---|---|
| Llevar tu propio cargador a la red eléctrica | Total | 0 € |
| Power bank propio | Total | Bajo |
| USB data blocker (preservativo USB) | Alta | Aproximadamente 8-15 € |
| Cable solo-carga (sin pines de datos) | Alta | Bajo |
| Apagar el móvil mientras carga | Media | 0 € |
El USB data blocker merece un párrafo. Es un adaptador diminuto que desconecta físicamente los pines de datos y deja pasar solo la corriente. Lo enchufas entre tu cable y el puerto público. Marcas como PortaPow lo venden desde hace años.
Tres reglas de oro para el día a día:
- Enchufa a la pared, no al USB. Una toma de corriente eléctrica de 230V no transmite datos. Es físicamente imposible.
- Lleva batería externa. La solución más cómoda y la que recomienda casi todo el sector.
- Mantén el sistema actualizado. Los parches de seguridad cierran las vías que estos ataques explotan.
Si te preocupa la huella que dejas en general cuando usas dispositivos fuera de casa, revisar la configuración de tus apps también suma. La guía sobre privacidad en TikTok y cómo configurar tu cuenta aplica el mismo principio: tú decides qué datos salen de tu bolsillo.
Qué hacer si crees que has picado
Conectaste a un puerto sospechoso y ahora dudas. Actúa con cabeza, sin dramatismo.
Primero, desconecta y reinicia. Revisa la lista de aplicaciones instaladas en busca de algo que no recuerdes haber descargado. En Android, vigila los permisos de accesibilidad y administrador de dispositivos.
Cambia las contraseñas críticas desde otro equipo de confianza: banca, email principal, gestor de contraseñas. Activa la verificación en dos pasos donde no la tengas. Comprueba si tus credenciales han aparecido en alguna filtración con Have I Been Pwned.
Si sospechas de un archivo concreto, súbelo a VirusTotal para analizarlo con decenas de motores antivirus. En caso de infección persistente, el restablecimiento de fábrica es la opción nuclear pero definitiva. Una escalada de permisos puede dar al atacante control total: el mecanismo lo explicamos en escalada de privilegios.
Preguntas frecuentes
¿Es real el juice jacking o es un mito?
El vector de ataque es técnicamente real y está demostrado en laboratorio por investigadores como MG con el O.MG Cable. Sin embargo, no hay casos confirmados de víctimas reales en estado salvaje, por lo que el riesgo es bajo pero no nulo.
¿Cargar en el USB de un avión o tren es peligroso?
El riesgo existe porque no controlas el origen de esa toma. La recomendación práctica es usar el enchufe eléctrico convencional o tu propia batería externa, que eliminan por completo la posibilidad de transferencia de datos.
¿Sirve de algo apagar el móvil mientras carga?
Ayuda pero no garantiza protección total, ya que algunos dispositivos siguen permitiendo cierta comunicación de datos incluso apagados. La medida más fiable sigue siendo un USB data blocker o un cable solo-carga.
¿Qué es un USB data blocker y dónde se compra?
Es un pequeño adaptador que bloquea físicamente los pines de datos del USB y deja pasar solo la corriente. Se encuentra en tiendas de electrónica y plataformas online por aproximadamente 8 a 15 euros.
¿iPhone o Android, cuál es más vulnerable?
Ambos incorporan desde hace años un aviso de confianza al conectarse a un equipo desconocido, así que el nivel de protección base es similar. La diferencia la marca tener el sistema actualizado y rechazar siempre la conexión de datos en puertos públicos.
El siguiente paso
Compra hoy un USB data blocker o una batería externa pequeña y métela en la mochila que usas para viajar. Cuesta menos que un menú del día y convierte cualquier cargador público en un problema que ya no es tuyo. Si gestionas dispositivos de una empresa y quieres una política de seguridad móvil seria, en Piqture ayudamos a montarla. Y si te ha sido útil, pásate por el resto del blog de MataSpam: tenemos más amenazas reales explicadas sin humo.
