Caricare la batteria dello smartphone via USB può essere pericoloso

È probabile che ognuno di noi si sia trovato nella situazione in cui il nostro telefono stia morendo e non ci siano caricabatteria a portata di mano, ma allo stesso tempo abbiate il disperato bisogno di rimanere connessi: per rispondere a una chiamata importante, ricevere un messaggio o email, qualsiasi cosa.

È assolutamente normale cercare una fonte di corrente elettrica in una situazione del genere, come una porta USB. Ma è sicuro? No. Anzi, può essere pericoloso: attraverso una connessione USB, qualcuno può sottrarre i vostri file, infettare il vostro telefono con qualcosa di brutto o persino renderlo inutilizzabile.

Cavalca il fulmine

Prima di preoccuparci dei ladri, dobbiamo far notare che non tutta l’energia elettrica è ugualmente buona per il vostro telefono. Internet è pieno di utenti che si lamentano soprattutto perché hanno provato a caricare i loro bei telefoni collegandoli a caricabatteria di seconda mano (o non originali). In alcuni casi, ciò li ha trasformati in costosi mattoni. Nelle situazioni più strane, chi li stringeva in mano è stato gravemente ferito o perfino ucciso.

Teen dies after being electrocuted in her sleep while charging her iPhone http://t.co/1YyPVHOhN0

— Daily Mail Online (@MailOnline) July 31, 2014

Purtroppo, si può trattare di più che semplici incidenti. Per esempio, l’anno scorso abbiamo visto un contorto dispositivo appropriatamente chiamato USB Killer. Conteneva una serie incredibile di condensatori dentro un ingresso delle dimensioni della pen drive, capace di emettere una scarica di 220 V in una porta USB. Una scarica del genere come minimo distruggerebbe la porta USB, e possibilmente la scheda madre di tutto il computer, nel peggiore dei casi. Dubitiamo che vogliate provare in questo modo la resistenza del vostro telefono.

Mostrami i tuoi file, baby

Punto secondo, le porte USB venivano progettate non solo per fornire carica, ma per trasferire dati. Per cui, quando un dispositivo mobile è connesso a una porta USB, esso tenta un handshake, durante il quale trasmette dei dati. Quelli che ne sprecano di più sono i telefoni con piattaforma Android 4.x e precedente: si connettono in modalità MTP (Media Transfer Protocol) per default, esponendo tutti i file del dispositivo.

In media, occorrono oltre cento kilobyte di dati solo per comunicare al sistema host i file e le cartelle del telefono. A titolo di riferimento, all’incirca le dimensioni di una copia fisica di Alice nel Paese delle Meraviglie.

Bloccare il telefono vi salverà da un’esposizione del genere ma, in tutta onestà, vi astenete dall’uso del telefono durante la carica?  E scollegate sempre il telefono dalla porta USB quando, per esempio, ricevete un messaggio?

Ora, diamo uno sguardo più da vicino ai dati trasmessi alla porta USB quando il telefono è in modalità “solo carica” (bloccato). Le dimensioni di questi dati variano, a seconda della piattaforma del telefono e del sistema operativo dell’host, ma in ogni caso, si tratta più di un “solo carica, niente di personale”: come abbiamo scoperto, questi dati comprendono il nome del dispositivo, il nome del produttore e il numero di serie.

Accesso totale e oltre

Potreste pensare che non si tratti di chissà che, ma il problema è che, come abbiamo scoperto analizzando le informazioni pubblicamente disponibili su un venditore specifico, permettono molto più di quello che è specificato dal sistema.

Com’è possibile?

Questo avviene tramite un sistema legacy di comandi chiamato comandi AT. I comandi AT sono stati sviluppati alcuni decenni fa per abilitare le comunicazioni del modem e del PC. In seguito questa serie è stata inclusa nello standard GSM e adesso è supportato da tutti gli smartphone.

Per darvi un’idea di cosa può essere fatto utilizzando i comandi AT: permettono a un aggressore di ottenere il vostro numero di telefono e di scaricare i contatti che sono memorizzati nella SIM card. Quindi, tali comandi consentono di effettuare una chiamata a qualsiasi numero, ovviamente a vostre spese. (E se siete in roaming, queste chiamate a sorpresa potrebbero fare andare il vostro conto in rosso alla svelta). In base al vostro produttore, questa modalità può anche dare libero accesso all’installazione di qualunque tipo di applicazione, comprese quelle dannose.

Quanto detto è possibile anche quando il vostro smartphone rimane bloccato!

In sintesi: ricordate che non si può mai sapere chi c’è “dall’altro lato” di una normale, all’apparenza, porta USB. Una porta USB può essere un sistema che raccoglie dati sui dispositivi che sono a esso connessi, una fonte di energia difettosa, un potente condensatore o un computer che installa un backdoor sul vostro dispositivo. Non lo saprete mai finché non attaccate il vostro dispositivo, quindi non fatelo.