El regulador que lleva años avisando del juice jacking reconoce no conocer ningún caso confirmado. La FCC, la autoridad de comunicaciones de Estados Unidos, advierte contra los puertos USB públicos al menos desde 2021, según CNBC, y en su propia página de consejos admite que no tiene constancia de ataques reales. Y, sin embargo, un equipo de la Universidad Tecnológica de Graz demostró en 2025 que un cargador manipulado puede saltarse las defensas de los móviles actuales.
En corto: esta guía es para quien carga el móvil en aeropuertos, estaciones o cafeterías y no sabe si está exagerando o arriesgándose. Separa lo documentado de lo repetido, explica qué demostró la investigación más reciente y termina con tres hábitos que eliminan el problema sin renunciar a la batería. Mi resumen: el riesgo es bajo para la mayoría, pero no es cero, y protegerse cuesta tan poco que no compensa ignorarlo.
Lo que dicen las autoridades, y lo que no dicen
Juice jacking es el nombre que recibe la idea de que un puerto de carga USB manipulado instale malware o extraiga datos del móvil mientras se carga. La página de consejos de la FCC lo describe así: los delincuentes podrían cargar software malicioso en estaciones públicas para acceder a los dispositivos conectados, bloquearlos o exportar datos personales y contraseñas.
La misma página contiene la frase que casi nunca se cita: la FCC dice no tener constancia de «ningún caso confirmado» y presenta el ataque como algo técnicamente posible, demostrado como prueba de concepto.
Uno de los avisos más difundidos fue el de la oficina del FBI en Denver, que CNBC recogió en abril de 2023: «Evita usar estaciones de carga gratuitas en aeropuertos, hoteles o centros comerciales». Según ese medio, el mensaje no citaba ningún daño reciente a consumidores y el FBI no respondió de inmediato a su pregunta sobre qué lo había motivado.
Mi lectura: las autoridades hacen bien en avisar de un vector posible, pero el tono alarmista de muchas noticias construyó un mito de epidemia que los datos no respaldan. El riesgo documentado está en los laboratorios, no en los aeropuertos.
¿Qué demostró la investigación ChoiceJacking?
Que un cargador malicioso barato puede simular que tú pulsas «permitir» y abrir la conexión de datos sin que lo hagas. Es la primera familia de ataques que se salta las protecciones contra el juice jacking que Android e iOS añadieron hace una década.
El trabajo se titula «ChoiceJacking: Compromising Mobile Devices through Malicious Chargers like a Decade ago» y se presentó en USENIX Security 2025, celebrado del 13 al 15 de agosto de 2025 en Seattle. Lo firman Florian Draschbacher, Lukas Maar, Mathias Oberhuber y Stefan Mangard, de la Universidad Tecnológica de Graz (Draschbacher, también de A-SIT Austria).
La lógica es sencilla de contar. Tras los primeros ataques de este tipo, los sistemas móviles empezaron a pedir confirmación antes de abrir una conexión de datos por USB. Esa defensa daba por hecho que el cargador no podía generar pulsaciones. Los investigadores demostraron que sí puede: se hace pasar por un teclado o accesorio y «pulsa» él mismo el botón de permitir.
Los resultados, según el artículo completo:
- Accedieron a archivos sensibles (fotos, documentos, datos de aplicaciones) en 11 dispositivos de 8 fabricantes, incluidos los seis mayores por cuota de mercado.
- En dos fabricantes pudieron extraer archivos con el móvil bloqueado.
- Para no ser vistos con el móvil desbloqueado, usaron un canal lateral en la línea de alimentación que detecta los momentos en que el usuario no va a notar nada raro en la pantalla.
- Todo se hizo en laboratorio, con dispositivos dedicados a la investigación.
Hay un matiz que conviene no perder: el trabajo prueba que el ataque es viable, no que se esté usando. No aporta casos reales, y la FCC tampoco los conoce.
¿Lo han arreglado Apple y Google?
En parte. Los fallos se comunicaron a los fabricantes entre junio y julio de 2024, y varios han publicado correcciones. Según el propio artículo, Google asignó la vulnerabilidad CVE-2024-43085, de gravedad alta, y la corrigió en el boletín de seguridad de Android de noviembre de 2024; Samsung asignó la CVE-2024-20900. Xiaomi, Huawei, Vivo y Honor confirmaron los hallazgos y trabajaban en parches cuando se publicó el trabajo.
En el caso de Apple, el artículo señala que la compañía añadió peticiones de autenticación para conexiones USB en iOS 17.5, pero que aún no las había integrado en iOS 18. Las notas de seguridad de iOS 18.4 y iPadOS 18.4 incluyen después una corrección acreditada a Draschbacher (CVE-2025-24193): un atacante con conexión USB-C a un dispositivo desbloqueado podía acceder por programa a las fotos, y Apple lo resolvió «con una autenticación mejorada». La entrada figura para varios modelos de iPad.
La consecuencia práctica es la de siempre: un móvil sin actualizar conserva los agujeros que ya están cerrados en las versiones nuevas. Instalar las actualizaciones es, aquí, la defensa más eficaz y la que menos esfuerzo pide.
Qué hacer en un aeropuerto, sin paranoia
Carga en un enchufe con tu propio cargador o lleva una batería externa; el puerto USB público es la última opción. Son, con matices, las recomendaciones de la FCC, y encajan con las que ya dimos sobre los riesgos reales de la wifi pública y cómo protegerte: en los espacios compartidos, lo mejor es depender lo menos posible de la infraestructura de otros.
- Enchufe y cargador propios. La FCC aconseja usar tomas de corriente y llevar tu cargador y tus cables. El riesgo está en el puerto USB y en cables de origen dudoso, no en la corriente alterna.
- Batería externa. Es el consejo más cómodo de la lista. Si dudas de cuánta capacidad necesitas, aquí tienes cuántos mAh necesita realmente una powerbank.
- Cable solo de carga o bloqueador de datos, de un proveedor de confianza. La FCC lo recomienda; los investigadores de Graz añaden dos pegas: solo protege a quien ya sabe del riesgo y estos accesorios interfieren con la negociación de potencia moderna, así que cargan más lento.
- Si aparece un aviso, elige «solo carga». Lo pide la FCC. Y si el móvil te pide desbloquearlo o confirmar algo nada más conectarlo a un puerto público, desconéctalo.
Tampoco te fíes de cualquier cable encontrado o regalado: existen cables con hardware espía dentro, como el cable de cargador que roba datos del móvil del que ya hablamos.
Mi postura es que el juice jacking ha sido sobrevendido como amenaza cotidiana y infravalorado como problema de diseño. ChoiceJacking demuestra que la protección en la que confiábamos tenía un fallo de base, y que lo cerraron los investigadores, no los atacantes. Pero para una persona normal, en un aeropuerto normal, el riesgo real sigue siendo pequeño.
Lo razonable no es el miedo, es el hábito: cargador propio en la mochila, batería cargada y móvil actualizado. Con eso, el puerto USB del aeropuerto deja de ser una pregunta.