Джус-джекінг

Джус-джекінг

Зарядний порт, який просить ваші файли, — це не зарядка.

Що таке Джус-джекінг?

USB-порт передає не лише живлення, а й дані, тож за громадською зарядною точкою може ховатися комп'ютер, що читає ваш телефон. Ви під'єднуєте майже розряджений телефон до зарядної точки в кафе, дозволяєте запит, що з'являється, і бачите, які папки відкрилися порту. Потім ви повторюєте цей момент і забороняєте той самий запит: телефон заряджається й нічого не віддає. Далі ви від'єднуєте його, переходите на власний ноутбук і повідомляєте ІТ-відділ. Наприкінці ви засвоюєте звичку, за якої цей запит не виникає взагалі.

Що ви дізнаєтесь у Джус-джекінг

Джус-джекінг — Кроки навчання

  1. Дзвінок об 11:30

    Трохи по десятій ранку в кафе Wrenloft Coffee. Об 11:30 в Аліси відеодзвінок із Tessmoor Cider, і прийматиме вона його з телефона, а до того треба закінчити макети етикеток. Телефон на столі вібрує.

  2. Сім відсотків

    Дзвінок у силі, а от чи доживе до нього телефон — питання: години відео на тому, що лишилося, він не витримає, а зарядка вдома. Ноутбук теж майже розряджений, і кожна хвилина його батареї потрібна для макетів, тож позичати в нього заряд для телефона поки не можна. У сумці є лише USB-кабель.

  3. Безкоштовне заряджання

    На краю столу стоїть невеликий зарядний блок із двома USB-портами та друкована картка: Free phone charging, Wrenloft Coffee («Безкоштовне заряджання телефонів, Wrenloft Coffee»). Це саме те, що їй потрібно.

  4. Запит на екрані

    Кабель під'єднано, і телефон спалахує запитом. Такі запити Аліса закривала дотиком безліч разів, а думками вона вже біля макетів, які треба закінчити до дзвінка.

  5. Лист від ІТ-відділу Ostmere

    Макети пішли до Tessmoor кілька хвилин тому, а заряд телефона трохи підріс. Тут на ноутбук надходить лист від ІТ-відділу Ostmere — про її телефон.

  6. Коли це можна було зупинити

  7. Перемотування: той самий запит

    Це повтор 10:12 — моменту, який вирішив усе. Кабель щойно ввійшов у блок, і телефон питає: «Дозволити доступ до даних телефона?» Зарядка, яка лише дає живлення, нічого не питає. Телефон ставить це запитання, коли з другого кінця кабелю стоїть комп'ютер, якому потрібно його прочитати. Картка на блоці каже «зарядка», запит — «комп'ютер». Ховати комп'ютер за громадською зарядною точкою називають джус-джекінгом.

  8. Заборонити

    У повторі Аліса дає іншу відповідь. «Заборонити» залишає порту лише живлення: телефон заряджається, але не відкриває файли тому, що стоїть на другому кінці.

  9. Лише живлення

    Запит зник, кабель на місці.

  10. Від'єднайте від блоку

    Повертаємося в сьогодення. Те, що сталося о 10:12, нікуди не поділося: Аліса торкнулася «Дозволити», і відтоді папки телефона відкриті для цього порту. Телефон усе ще в зарядному блоці, і те, що стоїть за портом, досі має до нього доступ. Макети вже в Tessmoor, тож батарею ноутбука тепер можна витрачати. Аліса витягає кабель із блоку; до дзвінка телефон підзарядить її власний ноутбук.

Охоплення стандартів безпеки

MITRE ATT&CK

  • T1533 Data from Local System (Mobile)

CIS Controls

  • CIS 14.5 Train Workforce Members on Causes of Unintentional Data Exposure
  • CIS 14.6 Train Workforce Members on Recognizing and Reporting Security Incidents

NIST CSF

  • PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind