Juice Jacking

Juice Jacking

Ein Ladeanschluss, der Ihre Dateien anfordert, ist kein Ladegerät.

Was ist Juice Jacking?

Ein USB-Anschluss überträgt neben Strom auch Daten, sodass eine öffentliche Ladestation einen Rechner verbergen kann, der Ihr Smartphone ausliest. In dieser Übung schließen Sie ein fast leeres Smartphone an eine Ladestation im Café an, erlauben den angefragten Zugriff und sehen, welche Ordner Sie dem Anschluss geöffnet haben. Dann spielen Sie den Moment noch einmal durch und lehnen dieselbe Anfrage ab: Das Smartphone lädt, ohne etwas preiszugeben. Anschließend ziehen Sie das Kabel ab, wechseln zu Ihrem eigenen Laptop und melden den Vorfall der IT. Zum Schluss erfahren Sie, wie Sie laden, ohne dass diese Frage überhaupt auftaucht.

Was Sie lernen in Juice Jacking

Juice Jacking — Trainingsschritte

  1. Ein Anruf um halb zwölf

    Es ist kurz nach zehn im Wrenloft Coffee. Um halb zwölf hat Alice einen Videoanruf mit Tessmoor Cider, den sie auf dem Smartphone führt, und vorher muss sie noch Etikettenentwürfe fertigstellen. Auf dem Tisch vibriert ihr Smartphone.

  2. Sieben Prozent

    Der Anruf findet statt, aber ob das Smartphone so lange durchhält, ist fraglich: Für eine Stunde Video reicht der restliche Akku nicht, und das Netzteil liegt zu Hause. Auch der Laptop ist fast leer, und jede Minute seines Akkus braucht Alice für die Entwürfe. Das Smartphone kann sie daran vorerst nicht laden. In ihrer Tasche ist nur ein USB-Kabel.

  3. Smartphones kostenlos laden

    Am Rand des Tisches steht eine kleine Ladestation mit zwei USB-Anschlüssen und einer bedruckten Karte: „Smartphones kostenlos laden – Wrenloft Coffee“. Genau das braucht Alice jetzt.

  4. Eine Frage auf dem Bildschirm

    Kaum steckt das Kabel, erscheint auf dem Smartphone eine Frage. Solche Dialoge hat Alice schon unzählige Male weggetippt, und mit den Gedanken ist sie bei den Entwürfen, die vor dem Anruf fertig werden müssen.

  5. Eine Nachricht von der IT von Ostmere

    Die Entwürfe sind vor ein paar Minuten an Tessmoor gegangen, und der Akku des Smartphones hat etwas zugelegt. Dann trifft auf Alices Laptop eine E-Mail der IT von Ostmere ein, die ihr Smartphone betrifft.

  6. Der entscheidende Moment

  7. Zurückspulen: dieselbe Frage

    Wir spielen den entscheidenden Moment um 10:12 Uhr noch einmal durch. Das Kabel steckt gerade in der Ladestation, und das Smartphone fragt: „Zugriff auf Smartphone-Daten zulassen?“ Ein Anschluss, der nur Strom liefert, hat nichts zu fragen. Diese Frage stellt das Smartphone, wenn am anderen Ende des Kabels ein Rechner steckt, der darauf zugreifen will. Laut Karte ist das ein Ladegerät, laut Dialog ein Rechner. Einen Rechner hinter einer öffentlichen Ladestation zu verstecken, nennt man Juice Jacking.

  8. Ablehnen

    Beim erneuten Durchspielen gibt Alice die andere Antwort. Mit Ablehnen bekommt der Anschluss nur Strom und sonst nichts: Das Smartphone lädt weiter, öffnet seine Dateien aber nicht für das Gerät am anderen Ende.

  9. Nur Strom

    Der Dialog ist verschwunden, das Kabel steckt noch.

  10. Kabel abziehen

    Zurück in der Gegenwart. Was um 10:12 Uhr passiert ist, gilt weiterhin: Alice hat auf Zulassen getippt, und ihre Ordner sind diesem Anschluss seitdem zugänglich. Das Smartphone hängt noch an der Ladestation, und was auch immer hinter diesem Anschluss steckt, hat weiterhin Zugriff darauf. Die Entwürfe sind bei Tessmoor, also kann der Laptop jetzt Akku abgeben. Alice zieht das Kabel aus der Ladestation und lädt das Smartphone vor dem Anruf über den eigenen Laptop auf.

Abdeckung der Sicherheits-Frameworks

MITRE ATT&CK

  • T1533 Data from Local System (Mobile)

CIS Controls

  • CIS 14.5 Train Workforce Members on Causes of Unintentional Data Exposure
  • CIS 14.6 Train Workforce Members on Recognizing and Reporting Security Incidents

NIST CSF

  • PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind