Qué pasa si conectas tu celular a un puerto USB público (Juice Jacking): líneas de datos D+/D-, inyección HID, ADB y cómo protegerte

¿Qué ocurre realmente cuando conectas tu teléfono celular a un puerto USB de carga gratuito en un aeropuerto, hotel, cafetería o sala de espera? Un conector USB estándar no solo transporta energía eléctrica por los pines de voltaje, sino que incluye líneas dedicadas para la transferencia bidireccional de datos.

En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.

1. Anatomía técnica del vector y superficie de exposición

En seguridad ofensiva este vector se conoce como Juice Jacking: detrás del enchufe de pared o cable olvidado opera un microcomputador oculto que intenta negociar datos.

Observa esta prueba de laboratorio conectando un teléfono a un puerto instrumentado. Antes de transferir archivos, el puerto emula un teclado físico mediante el protocolo HID.

$ python3 usb_descriptor_sniffer.py --port testbench_hub_01
Dispositivo analizado:     Cable/Puerto de carga modificado en banco de prueba
Pines activos:             VBUS (5.0V) + GND + Líneas de datos D+ / D- activas
Descriptor USB:            bInterfaceClass = 0x03 (Human Interface Device - HID)
Subclase reportada:        Boot Interface Subclass · Protocol = Keyboard
Comportamiento:            Espera desbloqueo de pantalla para inyectar teclas

Como los sistemas móviles confían por defecto en teclados externos conectados por cable, el puerto malicioso puede enviar atajos de teclado y comandos a gran velocidad.

2. Escalada operativa y pruebas de laboratorio

Si además el usuario presiona por prisa el aviso de confiar en esta computadora, el quiosco accede a fotografías mediante MTP o ejecuta comandos de depuración ADB.

Mira en esta segunda captura cómo al autorizar el emparejamiento se genera un certificado de confianza persistente que permite extraer respaldos completos del dispositivo móvil.

$ python3 audit_usb_pairings.py --check-trust-records
Vector auditado:           Autorizaciones previas 'Confiar en esta computadora'
Ruta Android:              /data/misc/adb/adb_keys (Llaves RSA autorizadas)
Ruta Apple iOS:            /var/db/lockdown/ (Certificados HostBUID vinculados)
Hallazgo en prueba:        1 certificado de host desconocido creado en viaje
Alcance del permiso:       Permite iniciar servicios de backup y lectura AFC/MTP

El riesgo es idéntico cuando alguien presta o regala un cable de carga alterado que aloja dentro del conector un chip inalámbrico de control remoto.

3. Mitigación, auditoría y defensa en profundidad

En esta tercera prueba verificamos el bloqueo físico de las líneas de datos usando adaptadores de solo carga y políticas corporativas que deshabilitan la enumeración USB.

• Referencia técnica 1 (Federal Communications Commission (FCC) Consumer Alert — 'Juice Jacking': The Dangers of Public USB Charging Stations): Los puertos de carga USB públicos pueden ser modificados para acceder a datos o instalar software malicioso a través de las líneas de datos del cable mientras el dispositivo recibe energía.
• Referencia técnica 2 (Apple Platform Security — USB Restricted Mode and Host Pairing (lockdownd) Architecture): El emparejamiento por cable crea registros criptográficos de confianza que permiten acceder a servicios del dispositivo; el modo restringido USB desactiva las líneas de datos cuando el equipo permanece bloqueado.
• Referencia técnica 3 (NIST Special Publication 800-124 Rev. 2 — Guidelines for Managing the Security of Mobile Devices in the Enterprise): Las organizaciones deben restringir la depuración por USB (ADB), controlar el emparejamiento con estaciones no autorizadas y deshabilitar los protocolos de transferencia de archivos en dispositivos corporativos.

En ViciousByte evaluamos vectores físicos de hardware mediante ejercicios de Red Team, auditorías de seguridad móvil para ejecutivos e inteligencia de amenazas con nuestra Suite OSINT.

Un descuido físico de segundos puede comprometer información estratégica. Si necesitas capacitar a tu dirección o auditar tu empresa, acércate a ViciousByte: desarrollo de software, seguridad TI y Red Team.

Canales oficiales de ViciousByte

• Web: https://viciousbyte.com
• Telegram: https://t.me/viciousbyte
• YouTube: https://www.youtube.com/@icrumor
• Instagram: https://www.instagram.com/9viciousbyte
• Facebook: https://www.facebook.com/viciousbyte