Джус-джекінг
Зарядний порт, який просить ваші файли, — це не зарядка.
Що таке Джус-джекінг?
USB-порт передає не лише живлення, а й дані, тож за громадською зарядною точкою може ховатися комп'ютер, що читає ваш телефон. Ви під'єднуєте майже розряджений телефон до зарядної точки в кафе, дозволяєте запит, що з'являється, і бачите, які папки відкрилися порту. Потім ви повторюєте цей момент і забороняєте той самий запит: телефон заряджається й нічого не віддає. Далі ви від'єднуєте його, переходите на власний ноутбук і повідомляєте ІТ-відділ. Наприкінці ви засвоюєте звичку, за якої цей запит не виникає взагалі.
Що ви дізнаєтесь у Джус-джекінг
- Пояснюйте, чому громадський USB-порт — це не лише джерело живлення для телефона, а й з'єднання для даних.
- Розпізнавайте запит телефона на доступ до даних як ознаку того, що на другому кінці кабелю не зарядка, а комп'ютер.
- Застосовуйте правильну відповідь на громадській зарядній точці: забороняйте доступ до даних, щоб телефон заряджався й нічого не віддавав.
- Обмежуйте наслідки: негайно від'єднуйте телефон, а потім повідомляйте ІТ-відділ, що було під'єднано, де, коли і які робочі файли були на телефоні.
- Застосовуйте звичку заряджання, яка не потребує запитів від чужого порту: власний адаптер у розетці, кабель лише для заряджання, павербанк або власний ноутбук, де комп'ютер на другому кінці ваш.
Джус-джекінг — Кроки навчання
-
Дзвінок об 11:30
Трохи по десятій ранку в кафе Wrenloft Coffee. Об 11:30 в Аліси відеодзвінок із Tessmoor Cider, і прийматиме вона його з телефона, а до того треба закінчити макети етикеток. Телефон на столі вібрує.
-
Сім відсотків
Дзвінок у силі, а от чи доживе до нього телефон — питання: години відео на тому, що лишилося, він не витримає, а зарядка вдома. Ноутбук теж майже розряджений, і кожна хвилина його батареї потрібна для макетів, тож позичати в нього заряд для телефона поки не можна. У сумці є лише USB-кабель.
-
Безкоштовне заряджання
На краю столу стоїть невеликий зарядний блок із двома USB-портами та друкована картка: Free phone charging, Wrenloft Coffee («Безкоштовне заряджання телефонів, Wrenloft Coffee»). Це саме те, що їй потрібно.
-
Запит на екрані
Кабель під'єднано, і телефон спалахує запитом. Такі запити Аліса закривала дотиком безліч разів, а думками вона вже біля макетів, які треба закінчити до дзвінка.
-
Лист від ІТ-відділу Ostmere
Макети пішли до Tessmoor кілька хвилин тому, а заряд телефона трохи підріс. Тут на ноутбук надходить лист від ІТ-відділу Ostmere — про її телефон.
-
Коли це можна було зупинити
-
Перемотування: той самий запит
Це повтор 10:12 — моменту, який вирішив усе. Кабель щойно ввійшов у блок, і телефон питає: «Дозволити доступ до даних телефона?» Зарядка, яка лише дає живлення, нічого не питає. Телефон ставить це запитання, коли з другого кінця кабелю стоїть комп'ютер, якому потрібно його прочитати. Картка на блоці каже «зарядка», запит — «комп'ютер». Ховати комп'ютер за громадською зарядною точкою називають джус-джекінгом.
-
Заборонити
У повторі Аліса дає іншу відповідь. «Заборонити» залишає порту лише живлення: телефон заряджається, але не відкриває файли тому, що стоїть на другому кінці.
-
Лише живлення
Запит зник, кабель на місці.
-
Від'єднайте від блоку
Повертаємося в сьогодення. Те, що сталося о 10:12, нікуди не поділося: Аліса торкнулася «Дозволити», і відтоді папки телефона відкриті для цього порту. Телефон усе ще в зарядному блоці, і те, що стоїть за портом, досі має до нього доступ. Макети вже в Tessmoor, тож батарею ноутбука тепер можна витрачати. Аліса витягає кабель із блоку; до дзвінка телефон підзарядить її власний ноутбук.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1533 Data from Local System (Mobile)
CIS Controls
- CIS 14.5 Train Workforce Members on Causes of Unintentional Data Exposure
- CIS 14.6 Train Workforce Members on Recognizing and Reporting Security Incidents
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind