Collegate lo smartphone a una porta USB pubblica in aeroporto, in hotel o in un centro commerciale e state facendo qualcosa di apparentemente banale. Ma quella stessa porta che trasferisce energia può, se manomessa, trasferire anche dati. Questo è il juice jacking: un attacco informatico che sfrutta la doppia natura del cavo USB — canale di ricarica e canale dati insieme — per accedere ai dispositivi delle vittime senza che queste se ne accorgano.
Cos’è il juice jacking e come funziona
Il termine “juice jacking” è stato coniato nel 2011 dal giornalista di sicurezza informatica Brian Krebs, in occasione della conferenza DefCon dove i ricercatori di Aires Security allestirono un chiosco di ricarica dimostrativo per mostrare la fattibilità teorica dell’attacco. Da allora il fenomeno ha attirato l’attenzione di istituzioni come l’FBI, la FCC statunitense e la TSA, che hanno emesso avvisi ufficiali invitando i viaggiatori a non usare porte USB pubbliche.
La vulnerabilità tecnica alla base dell’attacco
Un cavo USB standard contiene cinque connettori. Uno solo serve alla ricarica. Gli altri quattro servono alla trasmissione dati. Quando colleghi il telefono a una porta USB — che sia di un computer, di un caricatore da muro o di una colonnina pubblica — stai tecnicamente aprendo un canale bidirezionale tra il tuo dispositivo e qualunque cosa ci sia dall’altra parte.
In condizioni normali, dall’altra parte c’è solo un trasformatore che converte la corrente. Ma se quella porta è stata compromessa da un attaccante, dall’altra parte potrebbe esserci un dispositivo in grado di:
- Installare malware sul tuo smartphone senza che tu te ne accorga
- Estrarre dati dalla memoria del dispositivo — contatti, foto, documenti, credenziali salvate
- Registrare lo schermo in tempo reale tramite la tecnica del “video jacking”, sviluppata dai ricercatori di Aries Security alla DefCon 2016
- Installare cryptominer che sfruttano le risorse del dispositivo per generare criptovaluta per conto dell’attaccante
Quanto è realmente diffuso il juice jacking?
È giusto essere precisi su questo punto. Nonostante gli avvisi delle autorità americane, i casi documentati di juice jacking “in the wild” — cioè avvenuti realmente su utenti inconsapevoli in spazi pubblici — sono estremamente rari. Alcune testate tecniche autorevoli hanno definito il rischio più teorico che pratico nella sua forma classica.
Tuttavia ci sono ragioni concrete per non sottovalutarlo:
Le istituzioni lo prendono sul serio. Nel marzo 2025 la TSA ha formalmente raccomandato ai viaggiatori di evitare le porte USB negli aeroporti americani. L’FBI e la FCC hanno emesso avvisi ripetuti. Quando le agenzie federali di sicurezza si esprimono pubblicamente su un rischio, c’è sempre un motivo.
Il vettore di attacco esiste ed è replicabile. Che i casi documentati siano pochi non significa che l’attacco sia impossibile — significa che fino ad oggi gli attaccanti hanno trovato vettori più semplici. Man mano che la sicurezza degli altri canali aumenta, i canali meno presidiati diventano più interessanti.
Il contesto professionale amplifica il rischio. Un dirigente che ricarica il telefono aziendale a una porta USB compromessa in un aeroporto internazionale è un target completamente diverso da un utente privato. I dati che porta con sé — email, documenti, accessi VPN — hanno un valore economico reale per chi vuole sottrarveli.
La prevenzione ha costo zero. Rispetto ad altri rischi informatici che richiedono investimenti significativi in sicurezza, il juice jacking si previene in modo molto semplice. Non farlo non ha senso.
I contesti a rischio più elevato
Il juice jacking non è ugualmente probabile in tutti gli ambienti. I contesti che combinano alta affluenza, profili di utenza variegati e necessità urgente di ricarica sono quelli dove il rischio — anche solo percepito — è maggiore.
Aeroporti e stazioni ferroviarie — i viaggiatori hanno spesso dispositivi quasi scarichi, sono sotto pressione temporale e usano qualsiasi porta disponibile. Dal 2025 le nuove restrizioni sui powerbank personali a bordo degli aerei (Gruppo Lufthansa, Emirates, Singapore Airlines) hanno aumentato ulteriormente la necessità di ricaricare prima dell’imbarco, rendendo le aree di attesa un contesto critico.
Hotel e strutture ricettive — le prese USB nelle camere e nelle aree comuni sono state identificate come potenziali vettori di attacco. I viaggiatori d’affari, che portano con sé dispositivi aziendali con accessi sensibili, sono i profili più esposti.
Centri commerciali e aree pubbliche — colonnine, panchine con USB integrate, totem di ricarica non certificati. La varietà di dispositivi di ricarica presenti negli spazi commerciali rende difficile per l’utente distinguere tra una soluzione sicura e una potenzialmente compromessa.
Fiere, congressi e eventi aziendali — partecipanti con dispositivi professionali, spesso con batterie esaurite dopo una giornata intensa, che accettano qualsiasi punto di ricarica disponibile. Un ambiente ad alto valore per chi vuole sottrarre dati aziendali.
Come proteggersi: le soluzioni pratiche
Per l’utente individuale le misure di protezione sono semplici:
- Usa sempre il tuo caricatore con presa elettrica — è la protezione più efficace in assoluto. Una presa di corrente non trasmette dati
- Porta un powerbank personale certificato — ricaricalo da casa e usalo quando sei fuori
- Non autorizzare mai il trasferimento dati — se collegando il telefono a una porta USB compare un pop-up che chiede di “autorizzare il computer” o “consentire l’accesso”, rifiuta sempre
- Usa un cavo di sola ricarica — esistono cavi USB costruiti senza i connettori dati, che fisicamente non possono trasmettere informazioni
- Considera un data blocker USB (detto anche “USB condom”) — un piccolo adattatore che si interpone tra il cavo e la porta, lasciando passare solo l’energia
Per le aziende e i responsabili IT, il juice jacking rientra nelle policy di sicurezza mobile che dovrebbero includere:
- Divieto di utilizzo di porte USB pubbliche per i dispositivi aziendali
- Fornitura di powerbank aziendali certificati al personale in trasferta
- Formazione periodica sui rischi della ricarica in mobilità
- MDM (Mobile Device Management) con rilevamento delle connessioni USB non autorizzate
La soluzione strutturale: stazioni di ricarica no-data-transfer
Per i gestori di spazi pubblici — aeroporti, centri commerciali, hotel, ospedali, fiere — la questione non è solo come proteggere i propri dipendenti, ma come offrire ai visitatori un servizio di ricarica che sia certificatamente sicuro.
Installare una presa USB in un’area pubblica senza certificazioni specifiche significa assumersi una responsabilità che, in caso di incidente, potrebbe avere conseguenze reputazionali e legali significative. La domanda che ogni gestore dovrebbe porsi non è “quanto è probabile un attacco?” ma “se succedesse, come mi difendo?”
La risposta strutturale è scegliere stazioni di ricarica certificate no-data-transfer — sistemi progettati in modo che il canale dati della connessione USB sia fisicamente disabilitato. Non è una misura software che può essere aggirata: è una scelta costruttiva che elimina il vettore di attacco alla radice.
Le stazioni di ricarica per cellulari PAWA sono certificate no-data-transfer. Questo significa che quando un utente preleva un powerbank da una stazione PAWA o collega il proprio dispositivo a un nostro sistema di ricarica, il trasferimento di dati è fisicamente impossibile. Non c’è nessun canale aperto, nessun rischio di compromissione, nessuna responsabilità per il gestore della location.
È una certificazione che ha valore concreto in almeno tre contesti:
- Strutture sanitarie — ospedali e cliniche che gestiscono dati sensibili di pazienti non possono permettersi ambiguità sulla sicurezza dei dispositivi connessi alla loro infrastruttura. Una stazione no-data-transfer è l’unica scelta compatibile con i requisiti di sicurezza del settore.
- Aeroporti e strutture governative — in un momento in cui le autorità di sicurezza internazionali emettono avvisi sul juice jacking, offrire stazioni certificate è una risposta concreta e documentabile al problema.
- Aziende ed eventi corporate — chi organizza congressi, fiere o eventi aziendali con partecipanti che portano dispositivi professionali ha un interesse diretto a offrire un servizio di ricarica la cui sicurezza possa essere garantita per iscritto agli ospiti e agli sponsor.
Contattaci per informazioni sulle nostre stazioni certificate no-data-transfer o per un preventivo gratuito compilando il form qui sotto
CONTATTACI ORA
Compila il modulo raccontandoci la tua esigenza, e troveremo insieme la soluzione perfetta per te!
FAQ — Juice jacking
Il juice jacking è un rischio reale o solo teorico?
È un rischio tecnicamente reale ma con pochissimi casi documentati nella pratica quotidiana. La vulnerabilità esiste — il cavo USB trasmette dati oltre che energia — e le autorità americane (FBI, FCC, TSA) hanno emesso avvisi ufficiali. Nella realtà gli attaccanti tendono a usare vettori più semplici, ma il rischio aumenta in contesti ad alto valore come aeroporti internazionali, eventi aziendali e strutture che trattano dati sensibili.
Come faccio a sapere se una stazione di ricarica pubblica è sicura?
Non puoi saperlo a occhio nudo. L’unico modo per essere certi è usare stazioni certificate no-data-transfer — sistemi in cui il canale dati è fisicamente disabilitato a livello costruttivo. In alternativa, porta sempre il tuo caricatore con presa elettrica o un powerbank personale certificato.
Il juice jacking funziona anche con i cavi USB-C?
Sì. Lo standard USB-C supporta la trasmissione dati esattamente come i connettori precedenti — anzi, con velocità di trasferimento molto più elevate. Il rischio non diminuisce con il tipo di connettore, ma con la natura del sistema a cui ci si collega.
Gli iPhone sono protetti dal juice jacking?
iOS mostra un pop-up che chiede di “autorizzare il computer” quando si collega il dispositivo a una porta USB. Se si rifiuta l’autorizzazione, il trasferimento dati non avviene. Tuttavia questa protezione non è infallibile — alcune tecniche di attacco avanzate possono aggirarla — e non protegge da malware iniettati tramite vulnerabilità del firmware. La protezione migliore resta non usare porte USB pubbliche non certificate.
Cosa significa che una stazione di ricarica è “no-data-transfer”?
Significa che il canale dati della connessione USB è fisicamente disabilitato a livello costruttivo. Non è una misura software: è una scelta progettuale che rende fisicamente impossibile qualsiasi trasferimento di dati tra la stazione e il dispositivo collegato. Solo l’energia passa attraverso il cavo. Le stazioni PAWA sono certificate no-data-transfer.
Un gestore di spazi pubblici può essere ritenuto responsabile per un attacco juice jacking avvenuto nella sua struttura?
È un’area giuridicamente complessa e in evoluzione. In linea generale, un gestore che ha installato stazioni di ricarica non certificate e non ha adottato misure di sicurezza adeguate potrebbe essere esposto a contestazioni in caso di danno documentato agli utenti. Scegliere stazioni certificate no-data-transfer è la misura più efficace per eliminare questa responsabilità alla radice.
Powerbank station — per chi si muove tra le aule
scomparto chiuso con PIN personale, si concentra sullo studio o sulla sessione d’esame, e ritira il telefono completamente carico al termine.
I tavoli di ricarica integrano la funzione di ricarica direttamente nell’arredo delle aree comuni. Wireless e cablata, la ricarica avviene mentre lo studente mangia, socializza o lavora al laptop. Non richiede nessuna interazione con la stazione — si appoggia il telefono o si inserisce il cavo.
