Đừng sạc điện thoại bằng cổng USB nơi công cộng
FBI gần đây đã cảnh báo người dùng không nên sử dụng các trạm sạc bằng cổng USB nơi công cộng với lý do tin tặc có thể lợi dụng cài phần mềm độc hại vào thiết bị.
Cơ quan này khuyên người dùng nên có bộ sạc và dây USB riêng và sử dụng ổ cắm điện thông thường.
"Tránh sử dụng các trạm sạc miễn phí trong sân bay, khách sạn hoặc trung tâm mua sắm", văn phòng FBI viết trên Twitter tuần trước. "Những kẻ xấu đã tìm ra cách sử dụng cổng USB công cộng để đưa phần mềm độc hại và phần mềm giám sát vào thiết bị".
Kỹ thuật nói trên được gọi là "juice jacking", đã được Ủy ban Truyền thông Liên bang (FCC) xác nhận.
Theo FCC, phần mềm độc hại được cài đặt qua cổng USB có thể khóa thiết bị hoặc xuất dữ liệu cá nhân và mật khẩu cho tin tặc. Sau đó, tin tặc có thể truy cập các tài khoản trực tuyến hoặc bán thông tin cho người khác.
Việc cơ quan tình báo hàng đầu của nước Mỹ đưa ra cảnh báo như vậy nói lên rằng đây là thực trạng rất nghiêm trọng. Cảnh báo của FBI không đi sâu vào chi tiết về mức độ rủi ro do các trạm sạc công cộng gây ra, nhưng đây có thể được coi là lời khẳng định về nguy cơ là có thật.
Trong khi điện thoại của bạn đang sạc, kẻ xấu có thể lây nhiễm virus hoặc phần mềm độc hại có khả năng làm mọi thứ, từ đánh cắp dữ liệu đến theo dõi thao tác nhấn phím để có được dữ liệu nhạy cảm như thông tin đăng nhập ngân hàng nhằm rút hết tiền trong tài khoản.
Cơ chế rủi ro ở đây là khi bạn kết nối điện thoại hoặc máy tính qua giao diện cáp USB, giao thức kết nối đáng tin cậy sẽ được thiết lập. Vì đã có quyền truy cập ổ cứng thiết bị, việc kẻ gian chuyển các tệp phần mềm độc hại như phần mềm quảng cáo, khai thác tiền điện tử trong nền, gián điệp và ransomware sẽ trở nên cực kỳ thuận tiện.
Từ việc trích xuất các tệp được lưu trữ trên điện thoại hoặc máy tính xách tay cho đến việc truyền phần mềm độc hại, có rất nhiều thiệt hại có thể xảy ra.
Vào năm 2011, các nhà nghiên cứu đã thiết lập một trạm sạc công cộng có khả năng cài phần mềm độc hại vào điện thoại nhằm nâng cao nhận thức về việc thủ thuật này là có thật chứ không phải chỉ là cảnh báo suông.
Vài năm sau, các chuyên gia bảo mật đã phát triển một thiết bị tương tự được gọi là Mactans, có thể tải phần mềm độc hại trên iPhone hoặc iPad dưới chiêu bài sạc pin.
Ngoài ra, cảnh báo của FBI không phải là lời khuyên đầu tiên. Vào năm 2019, Los Angeles cũng đã đưa ra cảnh báo chống lại juice jacking, khuyến cáo người dân rằng những kẻ xấu có thể triển khai các ổ cắm USB bị nhiễm virus ở những nơi công cộng cho mục đích xấu.
Làm gì để tránh rủi ro juice jacking?
Các nhà phát triển điện thoại ngày nay đã có những biện pháp để ngăn chặn được thủ thuật này.
Điện thoại và máy tính xách tay những năm gần đây đều tắt truyền dữ liệu theo mặc định và mỗi khi bạn kết nối cáp USB, lời nhắc trên màn hình sẽ xuất hiện hỏi bạn muốn sử dụng kết nối USB để truyền dữ liệu hay chỉ sạc.
Để tránh nguy cơ nói trên, hãy nhớ chọn kết nối USB chỉ dùng để sạc và không tiến hành bất kỳ hoạt động nào khác.
iOS của Apple đã thực hiện nhiều biện pháp bảo mật để giảm khả năng tấn công qua USB, bao gồm cả việc không còn cho phép thiết bị tự động gắn kết dưới dạng ổ cứng khi cắm qua USB, cũng như phát hành các bản vá bảo mật cho các lỗ hổng như cách Mactans khai thác.
Các thiết bị Android thường nhắc người dùng trước khi cho phép kết nối thiết bị dưới dạng ổ cứng khi cắm qua USB. Kể từ bản phát hành 4.2.2, Android đã triển khai bước xác minh danh sách trắng để ngăn kẻ tấn công truy cập Android Debug Bridge mà không được phép.
Nếu bắt buộc phải sạc thiết bị ở nơi công cộng, đây là một số biện pháp an toàn bạn cần ghi nhớ:
Nếu có thể, hãy tìm một ổ cắm điện thông thường trên tường và dùng bộ sạc cáp của chính mình để sạc thay vì chọn một ki-ốt có nhiều dây cáp treo usb lủng lẳng.
Luôn khóa điện thoại trong khi sạc. Tốt hơn hết, hãy tắt nguồn điện thoại hoặc máy tính xách tay của bạn.
Mang theo giải pháp sạc di động như sạc dự phòng nếu thường xuyên cần nạp năng lượng cho thiết bị khi đang di chuyển.
Cắm thiết bị thông qua các dock phụ kiện gắn ngoài vì chúng vô hiệu hóa truyền dữ liệu và chỉ cho phép sạc pin.