Niebezpieczne ładowarki do telefonów. Warto unikać tych błędów

Gdy podłączamy telefon do publicznej stacji ładowania (np. na lotnisku, w kawiarni, galerii handlowej itp.), raczej nie zastanawiamy się, czy ma to wpływ na bezpieczeństwo naszego urządzenia i przechowywanych w nim danych? Czy myślimy o tym, jakie dane przekazuje nasz smartfon takiej stacji ładowania? Problem ten zaciekawił badaczy z Kaspersky Lab, którzy przeprowadzili eksperyment, aby znaleźć odpowiedzi na te pytania.

W ramach badania eksperci przetestowali wiele smartfonów działających pod różnymi wersjami systemu Android i iOS, aby dowiedzieć się, jakie dane urządzenie przesyła na zewnątrz, kiedy jest podłączone do komputera PC lub Mac w celu naładowania baterii. Wyniki testów pokazują, że urządzenia mobilne ujawniają komputerowi całą litanię danych podczas tzw. „uścisku dłoni”. (procesu „przywitania się” pomiędzy urządzeniem a komputerem PC/Mac, do którego jest podłączone) obejmujących: nazwę urządzenia, producenta, typ, numer seryjny, informacje dotyczące oprogramowania układowego (tzw. firmware), informacje dotyczące systemu operacyjnego, systemu plików, listę plików oraz identyfikator procesora. Ilość danych wysłanych podczas „uścisku dłoni” różni się w zależności od urządzenia mobilnego oraz komputera, ale każdy smartfon przesyła ten sam podstawowy zestaw informacji, łącznie z nazwą urządzenia, producenta, numerem seryjnym itd.

Obecnie, gdy smartfony niemal nieustannie towarzyszą swoim właścicielom, urządzenia te pełnią rolę unikatowego identyfikatora dla każdej osoby trzeciej, która może być zainteresowana gromadzeniem i późniejszym wykorzystaniem takich danych. Nie byłoby żadnego problemu, gdyby z telefonu podłączonego do nieznanego komputera lub urządzenia ładującego osoba atakująca mogła zebrać jedynie kilka unikatowych identyfikatorów.

Już w 201. r. podczas konferencji Black Hat przedstawiono koncepcję zakładającą, że telefon komórkowy może zostać zainfekowany szkodliwym oprogramowaniem w wyniku podłączenia go do fałszywej stacji ładowania. Teraz, po dwóch latach od ogłoszenia tej koncepcji, eksperci odtworzyli eksperyment bez użycia specjalistycznej wiedzy czy narzędzi. Przy użyciu jedynie zwykłego komputera PC oraz standardowego kabla USB i wyposażeni w zestaw poleceń (dostępnych w internecie), zdołali ukradkiem zainstalować w smartfonie aplikację. Oznacza to włamanie się do smartfona bez wykorzystania do tego celu szkodliwego oprogramowania.
Ugrupowania cyberprzestępcze znalazły już sposób, aby wykorzystać rzekomo bezpieczną wymianę danych pomiędzy smartfonem a komputerem PC, do którego był podłączony. Sprawdzając dane identyfikacyjne uzyskane z podłączonego urządzenia, atakujący zdołali zidentyfikować, jaki model urządzenia wykorzystywała ofiara, oraz przeprowadzić swój atak przy użyciu określonego szkodliwego kodu. Nie byłoby to tak łatwe do wykonania, gdyby smartfony nie wymieniały automatycznie danych z komputerem PC po połączeniu się z portem USB.

W celu zabezpieczenia się na wypadek ryzyka potencjalnego ataku za pośrednictwem nieznanych stacji ładowania oraz niezaufanych komputerów, warto pamiętać o tych zasadach:

- W celu naładowania urządzenia korzystaj jedynie z zaufanych stacji ładowania USB i komputerów. Ładowarki dostępne w miejscach publicznych np. dworce, kawiarnie, lotniska itp. powinny wzbudzać naszą czujność. Wybierajmy te urządzenia, które noszą oficjalne oznaczenia operatorów komórkowych lub np. portu lotniczego.

- Chroń telefon komórkowy za pomocą hasła lub innej metody, takiej jak skan odcisku palca i nie odblokowuj go podczas ładowania. Już tak proste zachowanie pozwala niemal całkowicie zminimalizować ryzyko zainfekowania telefonu.

- Wybieraj te stacje ładownia, które udostępniają gniazdka elektryczne, zamiast gotowych zestawów z kablami USB.

- W celu ochrony danych wykorzystuj technologie szyfrowania swoich danych.

- Chroń zarówno swoje urządzenie mobilne jak i komputer PC/Mac przed szkodliwym oprogramowaniem przy pomocy sprawdzonego rozwiązania bezpieczeństwa. Pomoże to wykryć szkodliwe oprogramowanie, nawet jeśli zostanie wykorzystana luka w bezpieczeństwie powstająca podczas ładowania telefonu.

Źródło: Kaspersky

jb