El FBI advierte sobre la extracción de datos por USB. ¿Son seguras las estaciones de carga pública?

“No hemos recibido denuncias de malware en las conexiones USB de los aeropuertos”, dice Rob Yingling, representante de la Autoridad de Aeropuertos del Área Metropolitana de Washington.

La extracción de datos por USB es tecnológicamente posible

La advertencia más temprana tal vez fue durante el congreso Def Con 2011 sobre ciberseguridad cuando la compañía Aries Security construyó un kiosco de carga pública para educar a los asistentes sobre los riesgos. En el 2013, los investigadores interfirieron con teléfonos iPhone a través de conexiones USB maliciosas en una demostración durante el congreso de ciberseguridad Black Hat, y en el 2016 los investigadores confirmaron una vulnerabilidad similar en algunos teléfonos Android de Samsung.

Pero varios expertos en seguridad dicen que todavía no han visto la amenaza en estaciones de carga pública.

En cambio, el FBI estima que otro tipo de secuestro de datos —el robo de datos de tarjetas de crédito (skimming)— les cuesta a los consumidores e instituciones financieras más de $1,000 millones por año. Los delincuentes pueden robarte la información de tu tarjeta de crédito o débito al adherir aparatos difíciles de detectar en los cajeros automáticos, surtidores de gasolina y otros sitios donde insertas tu tarjeta magnética en una máquina.

“Me molestó el anuncio del FBI [sobre las estaciones de carga pública] porque no demostraba que fuera un problema extendido o tan siquiera un problema real”, comentó Chris Wysopal, cofundador y director ejecutivo de tecnología de la firma de integridad de software Veracode en Burlington, Massachusetts. En sus conversaciones con otros profesionales de la seguridad tampoco han surgido casos de extracción de datos por USB.

¿Tu mejor defensa? Software actualizado

Los expertos consideran que el riesgo real es mínimo si actualizas el software de tu teléfono inteligente.

“Lo que hace el delincuente en realidad es explotar una vulnerabilidad de tu teléfono”, explica Melanie Ensign, asesora de seguridad que ayuda a organizar los congresos de seguridad Def Con y Enigma. La vulnerabilidad no reside dentro de la conexión USB.

“Lo más importante es mantener actualizados el software y el firmware”, dice Ensign. Eso significa las aplicaciones que usas para encontrar ofertas, escuchar música, orientarte por la ciudad, jugar juegos o compartir en las redes sociales, así como el sistema operativo de tus dispositivos.

La primera opción tanto para el sistema iOS de Apple como para Android de Google es usar una nueva conexión Lightning o USB solo para cargar. Si enchufas un iPhone en cualquier computadora, aparecerá un mensaje de alerta para que indiques si quieres confiar en ese dispositivo y la frase Don't Trust (No confiar) resaltada en negritas. Los teléfonos Android muestran el mensaje Charging this device via USB (Cargando dispositivo por USB) y tienes que tocar para permitir la transferencia de archivos.

La advertencia de la FCC es correcta al señalar: “Si enchufas tu dispositivo en una conexión USB y aparece un mensaje que te pide seleccionar ‘share data’ (compartir datos) o ‘charge only’ (solo carga), selecciona siempre ‘charge only’”.

Wysopal ofrece otro consejo: bloquea tu teléfono antes de enchufarlo en una conexión USB pública.

“Bloquear tu teléfono impide la transferencia de datos por la conexión USB y es casi imposible que ocurran ataques”, señala. Apagar el teléfono por completo antes de cargarlo es otra opción que también funciona.

O puedes comprar un bloqueador de datos USB por unos $7. El adaptador tiene pines para transferir solo carga, y no datos, del lado del teléfono. Si gastas un poco más, podrás conseguir un cargador con varias conexiones USB que funciona con cualquier tomacorriente y recargará tu batería más rápido que la mayoría de las estaciones de carga pública con USB.

Otras amenazas son más preocupantes

Es importante recordar que los atacantes que desean robar información de teléfonos fortuitos no necesitan manipular cargadores lejanos o ni siquiera salir de su casa. Simplemente pueden enviar aplicaciones “gratuitas” que recaban y comparten datos silenciosamente.

“Todavía uso los cargadores USB públicos cuando lo necesito”, dice Ensign, sabiendo que su mejor defensa es tener el software actualizado. “Los consumidores ya tienen suficientes cosas de que preocuparse. Esta realmente no debería ser una de ellas”.