Se llama juice jacking, un juego de palabras entre juice, coloquialismo inglés para "carga eléctrica", y jacking, "robo",
No caigas al “relay attack”: la Policía advierte del nuevo método de robo que te puede hacer perder miles de euros
Es una escena banal, repetida a diario en miles de terminales, andenes y galerías comerciales. Y es que, cuando la batería del móvil parpadea en rojo, cualquier puerto USB brilla como un oasis y el cable, incluso ajeno, se convierte en un salvavidas. Sin embargo, este gesto casi reflejo puede activar una modalidad de ciberataque discreta, silenciosa y sorprendentemente eficaz.
Se llama juice jacking, un juego de palabras entre juice, coloquialismo inglés para "carga eléctrica", y jacking, "robo", y lleva más de una década alertando a los organismos policiales y de ciberseguridad de medio mundo.
Qué ocurre exactamente
El puerto USB no es un simple conducto de energía. Transporta, en el mismo cable, corriente y datos. Este es el detalle técnico que los delincuentes explotan, ya que al insertar el dispositivo en una toma manipulada, la conexión abre una vía bidireccional por la que pueden extraer fotografías, contraseñas, credenciales bancarias almacenadas en aplicaciones y navegadores, mensajes privados, contactos o cualquier archivo sensible.
En sentido inverso, la misma conexión permite depositar en el terminal software espía, troyanos, ransomware o programas que registran cada pulsación del teclado. La operación se ejecuta en segundos, sin ninguna alerta visible en la pantalla.
Las consecuencias van más allá del dispositivo conectado, que evidentemente queda comprometido. Con las credenciales robadas, el atacante puede suplantar la identidad de la víctima ante sus contactos, difundir enlaces fraudulentos desde sus perfiles legítimos o encadenar fraudes financieros mediante datos de las tarjetas guardadas en aplicaciones de pago. La cadena de infección se propaga con la lógica de un contagio.
Los avisos oficiales
Las advertencias llevan años avisándonos de que debemos "evitar las estaciones de carga gratuitas en aeropuertos, hoteles o centros comerciales" y llevar cargador y cable propios para conectarlos a una toma eléctrica convencional para cualquier viaje o desplazamiento, independientemente de la época del año.
En España, este tipo de aviso se ha emitido con un carácter algo más estacional. El Instituto Nacional de Ciberseguridad ha publicado un aviso sobre el ataque durante los periodos vacacionales, cuando el hábito de buscar puntos de carga en aeropuertos, estaciones o centros comerciales se intensifica: "Al conectar su dispositivo a un puerto USB público, podrían estar abriendo la puerta a un ataque conocido como juice jacking".
El giro del ChoiceJacking
Durante años, la respuesta tecnológica de Apple y Google, un mensaje emergente que solicita permiso antes de habilitar la transferencia de datos, ha valido para limitar el peligro de esta amenaza, aunque parece que ese dique de contención comienza a resquebrajarse. En abril de 2025, investigadores de la Graz University of Technology, en Austria, presentaron ChoiceJacking, una variante capaz de suplantar la pulsación del botón de autorización simulando ser el propio usuario. El sistema operativo interpreta la aprobación como legítima y concede al atacante el acceso solicitado, sin necesidad de que la víctima haga nada.
Cómo evitar esta estafa
Las medidas para blindarse son sencillas y no requieren conocimientos técnicos. La primera y más elemental es evitar los puertos USB públicos: llevar consigo el cargador original del móvil y conectarlo directamente a una toma de corriente eléctrica convencional. La segunda, incorporar al equipaje una batería externa cargada antes de salir, que independiza al usuario de cualquier infraestructura pública. La tercera, no recurrir jamás a cables prestados o de procedencia desconocida, ya que pueden estar preparados para transmitir datos sin levantar sospecha.
Existe también un dispositivo específico llamado data blocker, que es un pequeño adaptador que se intercala entre el cable y el puerto, permitiendo el paso de la energía pero bloqueando físicamente los pines de datos. Configurar el móvil para que, al detectar una conexión USB, active por defecto la opción "solo carga" añade una capa adicional; la biometría o el desbloqueo por contraseña, otra más. Ninguna de estas medidas es infalible aisladamente, pero su combinación reduce la superficie de ataque a un margen mínimo.