- Els USB desconeguts, de regal o trobats són un vector crític per a malware, robatori de dades i danys físics a l'equip.
- Cables, carregadors públics i gadgets USB barats poden utilitzar per atacs de juice jacking o causar errors elèctrics.
- En entorns personals i professionals és clau separar dispositius, xifrar dades, desactivar la reproducció automàtica i limitar-ne ports.
- Formació, polítiques clares i eines com a quioscos d'anàlisi redueixen dràsticament els riscos associats a l'ús d'USB.
En el dia a dia connectem tota mena de atuells per USB a l'ordinador i al mòbil gairebé sense pensar: pendrives, discos externs, carregadors, cables de càrrega «prestats»… i, si ens descuidem, també algun dispositiu que hem trobat per aquí. Aquest gest tan innocent pot obrir una porta enorme a robatoris de dades, codi maliciós o fins i tot danys físics a l'equip . No cal ser un paranoic de la ciberseguretat per prendre's aquest tema de debò.
Més enllà d'instal·lar un antivirus o evitar descarregar fitxers rars, hi ha un aspecte que solem passar per alt: el que endollem físicament al PC o al telèfon a través del port USB . En aquest article veurem, amb calma i amb exemples reals, quins dispositius USB no hauries de connectar mai al teu ordinador o mòbil, quines tècniques usen els atacants, què pot passar en el pitjor dels casos i quines bones pràctiques convé aplicar tant a nivell domèstic com en entorns professionals.
Per què el port USB és una via d'atac tan perillosa
L'estàndard USB va néixer per fer-nos la vida més fàcil, però aquesta mateixa comoditat el converteix en un vector d'atac molt atractiu per als ciberdelinqüents . Per un únic connector passen dues coses: electricitat per carregar i un canal de dades bidireccional. I vet aquí el problema.
Quan connectes un dispositiu USB, el sistema operatiu el reconeix, instal·la controladors i, moltes vegades, confia cegament que el que s'ha connectat és legítim . Si el dispositiu està manipulat, es pot fer passar per un teclat, un ratolí, una targeta de xarxa o un pendrive innocent i, a partir d'aquí, executar accions que l'usuari no ha autoritzat.
A més, els atacs per USB se salten barreres clàssiques com l'air gap (l'aïllament físic d'una xarxa). Encara que tinguis una xarxa industrial o corporativa totalment desconnectada d'Internet, només cal que algú fiqui un USB infectat perquè aquesta protecció deixi de servir. Així, s'han introduït amenaces tan conegudes com Stuxnet o Triton en infraestructures crítiques.
Per si no n'hi hagués prou, el port USB no només es pot utilitzar per colar malware: també pot ser un canal per fregir literalment el maquinari , com passa amb dispositius tipus USB Killer, que descarreguen voltatges molt per sobre del que és tolerable per la placa base.
USB que mai hauries de connectar al teu ordinador o mòbil
Hi ha certs dispositius que, per més que piqui la curiositat, val més no tocar. Alguns són clarament sospitosos i altres semblen totalment inofensius , però en tots els casos el risc compensa molt poc.
Pendrives i memòries USB desconegudes o «trobades»
És el clàssic: vas pel passadís de l'oficina, per la biblioteca, el campus o el portal de casa i apareix un pendrive tirat a terra o abandonat en una taula. Més del 40% de la gent que es troba un així acaba connectant-lo a un ordinador per «veure què hi ha a dins» , segons experiments realitzats a universitats.
Els atacants coneixen perfectament aquesta curiositat i l'exploten. Una tàctica molt utilitzada consisteix a deixar claus USB infectades a aparcaments, ascensors, bústies o zones comunes d'empreses i centres educatius . També s'han donat casos de memòries USB enviades per correu postal a usuaris a l'atzar, simulant ser publicitat o un regal promocional.
Dins d'aquest pendrive hi pot haver de tot: troians, cucs, ransomware, keyloggers, rootkits, adware… Molts d'aquests codi maliciós estan dissenyats per propagar-se quan detecten altres dispositius d'emmagatzematge o equips a la mateixa xarxa local, i per mantenir-se ocults el màxim temps possible.
Pitjor encara, no sempre cal que obris cap fitxer : si l'equip té activada la reproducció automàtica, el sistema pot executar codi maliciós només inserir el dispositiu. En escenaris corporatius, una simple clau USB infectada pot desembocar a un incident de seguretat greu, robatori de dades massiu o parada de sistemes crítics.
I hi ha un detall legal important del que es parla poc: un USB perdut pot contenir documents robats, fotos il·lícites o informació bancària de tercers . El simple fet de posseir o accedir a cert tipus de continguts pot comportar problemes legals encara que tu no hagis tingut res a veure amb la seva creació; consulta consells per prevenir el robatori de dades personals.
USB "sorpresa" que arriben per correu o es regalen en esdeveniments
Un altre cas molt delicat són els dispositius USB que reps sense haver-los demanat : campanyes de màrqueting agressives, suposats regals a fires, congressos, promocions en centres comercials o fins i tot enviaments postals anònims.
De vegades són totalment legítims, però ja s'han vist campanyes en què es distribuïen memòries infectades per instal·lar codi maliciós o espiar les víctimes . La policia de Melbourne, per exemple, va haver de llançar un avís demanant als ciutadans que no connectessin als seus ordinadors els USB que apareixien a les seves bústies, perquè molts contenien programari maliciós.
En empreses i organismes públics, aquest tipus d'USB «regal» s'hauria de considerar com un dispositiu d'alt risc i passar obligatòriament per processos d'anàlisi o, directament, no utilitzar mai en equips de producció.
Cables i carregadors USB d'origen dubtós
Amb la moda de carregar el mòbil a qualsevol lloc, han aparegut noves tècniques d'atac que aprofiten els carregadors i els cables aparentment inofensius. Un carregador públic en un aeroport, un hotel o un centre comercial pot estar manipulat per fer alguna cosa més que carregar la bateria.
L'anomenat juice jacking es basa precisament en això: els ports USB de càrrega pública poden utilitzar-se per instal·lar codi maliciós o eines de monitorització en els dispositius que es connecten. Un port compromès pot accedir al contingut del telèfon, robar contrasenyes i dades personals, i utilitzar-los per suplantar la teva identitat, buidar comptes bancaris o vendre la teva informació a la dark web.
Una cosa semblant passa amb alguns cables USB modificats que amaguen un microcontrolador . Per fora semblen cables normals, però per dins poden comportar-se com un teclat que, en connectar-se, comença a escriure ordres a tota velocitat per descarregar codi maliciós, crear usuaris amb privilegis, desactivar l'antivirus i un llarg etcètera.
La moralitat és clara: mai no donis per fet que un carregador o un cable USB és «només» un tros de plàstic inofensiu , especialment si no saps d'on surt o qui ho ha pogut manipular.
Dispositius USB de molt baixa qualitat (ventiladors, llums, gadgets barats…)
A l'extrem contrari a l'atac sofisticat hi ha els dispositius USB cutres i mal fabricats : ventiladors de dos euros, llums flexibles, tasses escalfadores, mini joguines, etc. Tot i que el seu objectiu original no sigui maliciós, la mala qualitat dels components pot suposar un problema seriós.
Una mala gestió de l'energia, soldadures deficients o proteccions inexistents poden provocar curtcircuits, pics de tensió o sobrecàrregues que facin malbé ports USB, plaques base o bateries . I això sense entrar que alguns d'aquests gadgets poden incorporar firmware modificat o xips d'emmagatzematge que, de nou, es podrien utilitzar per introduir codi maliciós.
La recomanació és senzilla: si connectareu alguna cosa a un port USB, que sigui d'un fabricant fiable i amb un mínim de garanties . El que és gratis o sospitosament barat sol sortir car quan parlem de seguretat i maquinari.
USB Killer i altres dispositius dissenyats per fer malbé el maquinari
Dins de la categoria de «ni se t'acudeixi endollar-ho» estan els anomenats USB Killer . A diferència d'un pendrive normal, el seu interior no es dedica a emmagatzemar dades, sinó a acumular energia mitjançant condensadors.
Quan es connecten a un port USB, carreguen ràpidament els seus condensadors des de les línies d'alimentació i descarreguen uns 200 volts de corrent continu sobre les línies de dades . Aquest cicle de càrrega-descàrrega es repeteix diverses vegades per segon fins que el dispositiu es retira. Llevat que lequip tingui una protecció molt específica, el resultat sol ser un port USB mort, una placa base fregida o un ordinador completament inservible.
Fins i tot encara que tinguis antivirus i altres defenses actives, no hi ha programari capaç de protegir el teu maquinari davant d'un atac purament elèctric . Per això, introduir al teu PC un USB del qual no coneixes l'origen no només pot acabar en infecció, sinó també en avaria física irreversible.
Riscos concrets de connectar USB insegurs
Ja hem vist quins dispositius és millor no fer servir, però convé aterrar què és exactament el que pot passar. Connectar un USB sospitós pot comprometre tant la part lògica (dades, sistema operatiu, xarxa) com la part física (maquinari).
Malware: del troià silenciós al ransomware destructiu
El codi maliciós que es distribueix per mitjans extraïbles és molt variat. En entorns industrials i corporatius abunden els troians amb portes del darrere (backdoors), bots, droppers que descarreguen altres amenaces, cucs que es repliquen automàticament, rootkits que s'amaguen de l'usuari i de l'antivirus, i tot tipus d'adware i spyware.
Algunes famílies busquen específicament altres discos o unitats USB connectades per propagar-se . Altres se centren a robar informació confidencial: documents interns, fitxers de configuració, credencials guardades al navegador, bases de dades, etc. En casos extrems, parlem de ransomware que xifra tots els fitxers accessibles i exigeix un rescat per recuperar-los; aprèn a protegir-te del ransomware.
En PCs amb reproducció automàtica activa o mal configurada, només cal inserir el dispositiu perquè comenci la festa . No cal obrir res, ni fer doble clic a cap fitxer: el sistema executa el que l'atacant hagi preparat.
Compromís de xarxes industrials i sistemes «air gapped»
A l'àmbit dels Sistemes de Control Industrial (SCI), els USB són una arma de doble tall. D'una banda, són imprescindibles per actualitzar firmware, carregar noves configuracions o transferir dades a equips que no estan connectats a la xarxa . Per altra banda, són un vector d'amenaça enorme.
Tot i les mesures d'aïllament, moltes plantes industrials han vist compromesos els seus sistemes precisament per no aplicar bones pràctiques a l'ús de mitjans extraïbles . Stuxnet i Triton en són dos exemples molt mediàtics, però no els únics. Una memòria mal gestionada pot desbaratar completament l?estratègia d?air gap: el que no entrava per la xarxa entra per la butxaca d?un tècnic.
A més, la llarga vida útil dels equips industrials i la convivència de sistemes heretats amb altres de més moderns fan difícil mantenir-los tots sota polítiques de seguretat homogènies. El personal que gestiona aquests dispositius de control es converteix, de facto, en el principal factor de risc si no està conscienciat i format.
Pèrdua de dades, privadesa i possibles responsabilitats legals
No tot el perill ve de fora. Les memòries USB també són un risc enorme quan les fem servir per emmagatzemar informació sensible : dades personals, documentació corporativa, còpies de seguretat, fotos privades, etc.
Són dispositius petits, fàcils de perdre, oblidar en una bossa o deixar en un ordinador aliè. Si l'equip on la connectes està infectat, podeu copiar el contingut del pendrive sense que t'assabentis . I si extravies la memòria, qualsevol que la trobi pot accedir als teus documents si no estan xifrats.
A nivell professional, això es tradueix en riscos clars de fuga d'informació corporativa i problemes de compliment normatiu (per exemple, en matèria de protecció de dades). Per això moltes organitzacions prohibeixen expressament lús de dispositius personals per tractar informació dempresa.
Danys físics al maquinari
A part dels USB Killer i similars, un dispositiu defectuós o mal dissenyat pot causar problemes elèctrics seriosos . Un pic de tensió o un curtcircuit en un gadget barat pot endur-se el port USB, part de la placa o fins i tot la font d'alimentació.
També hi ha riscos associats a deixar dispositius connectats durant molt de temps sense necessitat. Si hi ha una pujada de voltatge o una fallada en l'alimentació mentre l'USB està escrivint dades , es pot corrompre el sistema de fitxers del pendrive o del propi equip, amb pèrdua d'informació inclosa.
Bones pràctiques: com fer servir USB de forma més segura
No sempre podem prescindir de les memòries o dels ports USB, però sí que podem reduir moltíssim el risc aplicant una sèrie de mesures tècniques i de sentit comú . Algunes són per a qualsevol usuari domèstic i d'altres s'orienten sobretot a empreses i entorns industrials.
No connecteu mai dispositius USB desconeguts
Pot semblar de Perogrullo, però segueix sent el punt més important: si no saps d'on surt un USB, no el connectis a cap equip que t'importi . Res de pendrives trobats al carrer, «oblidats» a l'oficina, que arriben per correu sense demanar-los o que algú et presta sense garanties.
Si et trobes un USB, l'opció més sensata és no fer-lo servir per a res relacionat amb els teus dispositius . En entorns corporatius, s'hauria de lliurar al departament de seguretat o informàtica per a la seva anàlisi o destrucció segura. A casa, llençar-lo a les escombraries (trencant-ho si vols assegurar-te) és moltes vegades l'alternativa menys dolenta.
Evitar carregar el mòbil a ports USB públics
Els aeroports, estacions, hotels, centres comercials i fins i tot autobusos cada vegada ofereixen més ports USB «gratuïts» per carregar el mòbil . El problema és que poques vegades saps què hi ha darrere d'aquest connector: un simple adaptador de corrent o un equip amb accés a les dades.
Per reduir el risc de juice jacking, és preferible utilitzar sempre un carregador propi connectat a un endoll de paret , o portar una bateria externa que només utilitzis tu. Si no te'n queda cap altra que fer servir un port públic, l'ideal és comptar amb cables especials que bloquegen els pins de dades i només permeten la càrrega.
Separar dispositius personals i professionals
A nivell laboral, convé marcar una línia clara: allò personal per una banda, allò professional per una altra . No hauries de connectar el teu pendrive particular a l'ordinador corporatiu, ni fer servir un USB d'empresa per emportar-te a casa coses personals.
A la pràctica, això significa: USB corporatius identificats, inventariats i amb polítiques clares d'ús ; prohibir o restringir al màxim els dispositius personals; i sotmetre qualsevol memòria externa a controls previs (com anàlisi a quioscos de seguretat) abans de deixar-la entrar a la xarxa interna.
Protegir la informació emmagatzemada: xifrat i gestió de continguts
Quan no quedi més remei que portar dades sensibles a un USB, la protecció passa per xifrar-les amb una contrasenya robusta . Així, encara que algú aconsegueixi la memòria física, ho tindrà molt més difícil per accedir al contingut.
Addicionalment és bona idea limitar quin tipus d'informació es desa en aquests dispositius . Evita, en la mesura del possible, ficar dades especialment delicades o imprescindibles que no tinguis replicades en un altre lloc segur. I quan ja no els necessitis, recorre a esborrades assegurances , de manera que els fitxers no es puguin recuperar fàcilment.
Configurar el sistema operatiu i fer servir eines de seguretat
Al costat tècnic, hi ha diverses mesures bàsiques que ajuden força. Per exemple, desactivar la reproducció automàtica d'unitats extraïbles , perquè res no s'executi sense que tu ho decideixis. També és recomanable tenir un bon antivirus actualitzat que analitzi automàticament els mitjans extraïbles en connectar-los.
En entorns industrials i corporatius avançats, es pot anar més enllà amb solucions específiques de control de ports USB : restringir quins tipus de dispositius es poden connectar, aplicar polítiques diferents segons l'equip, registrar tot allò que s'endolla, bloquejar firmware no signat, etc.
Una eina cada cop més utilitzada són els quioscos d'anàlisi d'USB : equips dedicats on es connecten les memòries abans de deixar-les entrar a la xarxa. Aquests quioscos fan anàlisis amb múltiples motors antivirus, protegeixen davant de BadUSB, permeten esborrar de forma segura els continguts, gestionen inventaris de dispositius i generen tiquets d'autorització.
Cuidar la «salut» física de les memòries USB
A més de la part de seguretat, no és sobrer mimar una mica el dispositiu perquè duri més i no et deixi tirat. Usar sempre l'extracció segura abans de desconnectar, evitar que es quedin endollats sense necessitat, netejar el connector de tant en tant i protegir-lo amb la seva tapa redueix el risc de fallades físiques.
També convé no forçar l'entrada del connector : si no hi entra, probablement estigui al revés. Empènyer a la brutícia pot trencar tant el pendrive com el port de l'ordinador. I si treballes amb un portàtil amb la bateria sota mínims, evita escriure dades a l'USB en aquell moment: si l'equip s'apaga al mig de l'operació, pots perdre fitxers o danyar el sistema de fitxers de la memòria.
Formatar de tant en tant (després de fer còpia de seguretat) ajuda a mantenir el rendiment i detectar pendrives que comencen a fallar . Quan vegis comportaments rars (errors freqüents, arxius que desapareixen, velocitats ridícules) és millor jubilar-ho abans de perdre alguna cosa important.
Formació, conscienciació i resposta davant d'incidents
Per moltes mesures tècniques que es posin, la seguretat USB es juga sobretot al factor humà . Si els usuaris no entenen els riscos, continuaran connectant dispositius que troben «per aquí» o prestant alegrement les memòries a qualsevol ordinador.
En empreses i institucions resulta clau oferir formació periòdica sobre bones pràctiques , explicar casos reals, deixar clar què es pot fer i què no, i com actuar en cas de pèrdua, robatori o infecció. També és important que hi hagi un canal senzill per comunicar incidents (per exemple, notificar immediatament si desapareix un USB corporatiu amb dades sensibles) sense por de represàlies excessives.
Quan arriba el moment de desprendre's d'un dispositiu, ja sigui per obsolescència o per renovació, cal assegurar-se que no hi ha cap rastre d'informació dins seu . Tirar-ho tal qual a les escombraries o regalar-ho sense més ni més pot obrir una altra via de fugida de dades.
Al final, el port USB és una eina comodíssima, però mal utilitzada es converteix en un colador. Amb una mica de desconfiança sana, unes quantes normes clares i una mica de disciplina en aplicar-les , es pot seguir gaudint dels seus avantatges minimitzant molt els ensurts i les avaries.
