Juice jacking: como carregadores USB públicos roubam seus dados

Você está no aeroporto, portão de embarque, bateria do celular no último suspiro. Dois metros à frente: uma estação de carregamento USB gratuita. Parece sorte. Você pluga o cabo. O que acontece nos minutos seguintes você não vê — mas um atacante que preparou aquela tomada pode estar vendo tudo. Isso é o juice jacking.

O que é juice jacking?

O termo foi cunhado em 2011 pelo pesquisador Brian Krebs depois de uma demonstração na DEF CON, a maior conferência de segurança do mundo. A premissa é técnica, mas direta: o conector USB não transporta só energia — ele também transporta dados. Uma estação de carregamento comprometida ou um cabo adulterado pode fazer as duas coisas ao mesmo tempo, sem que você perceba.

O ataque se divide em duas variantes principais:

• Roubo de dados: a tomada ou cabo malicioso copia arquivos, contatos, fotos e credenciais armazenadas no aparelho enquanto a bateria carrega.
• Instalação de malware: o carregador instala software malicioso — keylogger, spyware ou trojan bancário — que continua operando depois que você desconecta.

Em termos práticos, o vetor de ataque pode ser materializado de três formas:

1. Estação pública modificada — o hardware interno de uma tomada USB legítima é substituído por uma versão com chip de ataque.
2. Cabo malicioso — cabos de aparência comum com circuito adicional embutido no conector. O modelo mais estudado é o O.MG Cable, fabricado especificamente para pentesters e pesquisadores.
3. Adaptador intermediário — um dispositivo minúsculo entre o seu cabo e a porta USB que injeta comandos enquanto o aparelho carrega.

ChoiceJacking: a técnica que burla o "Confiar neste dispositivo"

Por anos, Apple e Google responderam ao juice jacking com um mecanismo de defesa simples: ao detectar uma conexão USB que tenta acessar dados, o sistema exibe um aviso — "Permitir que este dispositivo acesse fotos e vídeos?" ou o equivalente Android. Recusar bloqueia o canal de dados; aceitar é necessário para transferências legítimas.

Em 2025, pesquisadores da Graz University of Technology (Áustria) apresentaram no 34º USENIX Security Symposium uma técnica chamada ChoiceJacking que contorna exatamente esse prompt. O carregador malicioso se disfarça de teclado USB e simula o toque em "Permitir" antes que o usuário consiga reagir. Nos testes, o ataque levou 133 milissegundos — bem abaixo do tempo de reação humana.

Os dispositivos afetados nos testes incluíam modelos Samsung, Xiaomi, Huawei e aparelhos Apple. A Kaspersky analisou o estudo e confirmou que a técnica funciona em condições controladas de laboratório. iOS 18.4 e Android 15, lançados após a divulgação da pesquisa, receberam correções específicas para as lacunas exploradas no ChoiceJacking. Aparelhos sem atualização continuam vulneráveis a variações do ataque.

FBI, FCC e TSA emitiram alertas — mas qual é a situação real?

O FBI (escritório de Denver), a FCC e a Administração de Segurança dos Transportes dos EUA (TSA) já publicaram alertas sobre juice jacking. A TSA emitiu um comunicado público específico em março de 2025 orientando passageiros a evitar portas USB em aeroportos. O FBI e a FCC recomendam usar tomadas elétricas comuns e o próprio carregador.

É importante ser preciso aqui: até hoje, não há registros públicos verificados de ataques de juice jacking em larga escala no mundo real. Nenhum incidente documentado de vítimas infectadas via tomada USB comprometida em aeroporto ou shopping foi confirmado independentemente. O que existe é prova técnica de viabilidade — e o ChoiceJacking elevou consideravelmente o nível de sofisticação dessa prova.

A ausência de casos confirmados não significa risco zero. Significa que o ataque ainda não é comum — algo que pode mudar à medida que as ferramentas necessárias se tornam mais acessíveis para grupos criminosos. Agências de segurança preferem alertar antes que o vetor vire rotina.

Como se proteger na prática

• Use tomada elétrica convencional — o seu carregador original numa tomada comum é o caminho mais seguro. Porta USB pública, mesmo que legítima, não vale o risco desnecessário.
• Carregue pelo power bank — uma bateria portátil elimina qualquer dependência de porta externa. É a proteção mais prática para viagens.
• Use um bloqueador de dados USB — veja abaixo o que é exatamente e como funciona.
• Selecione "Apenas carregar" — quando o aparelho perguntar o modo de conexão USB, escolha a opção que não transfere dados. No Android, isso bloqueia o canal de dados por software.
• Mantenha o sistema atualizado — iOS 18.4 e Android 15 fecharam as lacunas usadas no ChoiceJacking. Aparelhos desatualizados são mais expostos a variações do ataque.
• iPhone: ative o bloqueio de acessórios USB — em Ajustes → Face ID e Código, habilite a opção "Acessórios USB". Com isso, o iPhone bloqueia dados via USB quando o aparelho está bloqueado há mais de uma hora.

O que é um bloqueador de dados USB?

Um bloqueador de dados USB — também chamado de "USB condom" — é um adaptador físico que fica entre o cabo e a porta de carregamento. Ele deixa a energia passar, mas desconecta fisicamente os pinos de dados, tornando impossível qualquer transferência de arquivos ou instalação de software.

Custam entre R$ 20 e R$ 50 em marketplaces como Mercado Livre e AliExpress. É a solução mais robusta para quem precisa usar portas USB públicas com frequência: mesmo que a tomada seja comprometida, ela só consegue carregar o aparelho — nada mais passa pelo conector.

Juice jacking é o único risco em espaços públicos?

Definitivamente não. Quem opera em locais públicos tem mais de uma opção. Uma rede Wi-Fi de shopping que parece legítima pode ser um ataque evil twin — uma rede falsa criada para interceptar todo o tráfego do seu aparelho sem nenhum hardware físico envolvido. QR codes colados por cima dos originais em mesas de restaurantes ou terminais de autoatendimento são o vetor do quishing, variante de phishing que explora a confiança nos códigos QR. O USB é mais um canal — não o único que merece atenção nesses ambientes.

A regra prática vale para todos os vetores: em espaços públicos, nada de conectar em hardware que você não controla. Leve seu próprio carregador, seu próprio cabo e, se precisar de energia extra, um power bank já carregado. Se quiser revisar as configurações de segurança do Android além do USB, o post sobre como proteger o Android com 8 ajustes práticos cobre permissões de app, bloqueio de tela e outras configurações que fazem diferença no dia a dia.

Tomada USB gratuita num aeroporto é conveniência. Segurança é o carregador que você trouxe na mochila.