Juice jacking forklart: Slik kaprer et falskt offentlig ladekabel hele smarttelefonen din

Angrepet kalles juice jacking. Prinsippet er at kriminelle bygger om et ladepunkt eller legger ut en manipulert kabel på en flyplass, et hotell eller et kjøpesenter, slik at USB-forbindelsen ikke bare leverer strøm, men også en åpen datakanal inn i telefonen. Malwarebytes beskriver angrepet som at «an attacker uses a malicious public USB charger to install malware on, or steal information from, your phone».

Advarslene har kommet med jevne mellomrom siden FBI og FCC først tok opp temaet. I mars 2025 gikk det amerikanske transportsikkerhetsorganet TSA ut med en oppfordring til reisende om ikke å plugge telefonen direkte i USB-porter på flyplasser, og heller ta med egen strømadapter eller batteripakke, ifølge Malwarebytes' oppsummering.

Antall dokumenterte angrep i det fri er likevel svært lavt. FCC har tidligere sagt at de ikke har funnet reelle tilfeller, og Malwarebytes selv skriver at «no real-world attacks have ever been publicly documented», men understreker at det ikke betyr at risikoen ikke er reell. Trusselen har lenge vært teoretisk mer enn observert. Det er også bakgrunnen for at flyplassen som ladested fortsatt trekkes frem av sikkerhetsmyndigheter når det gjelder trådløse og fysiske farer på reise.

Slik fungerer angrepet teknisk

En USB-forbindelse fører både strøm og data i samme kabel. På et manipulert ladepunkt kan angriperen slå på datakanalen mens telefonen din tror den bare lader. Moderne Android og iPhone svarer på dette ved å be brukeren om tillatelse før data kan flyttes, og standardvalget er kun strøm.

Les også: Kina slår ned på skjermbilene: Disse 19 funksjonene må ha ekte knapper fra 2027

Det er nettopp den beskyttelsen som ble utfordret våren 2025. Forskere ved Graz University of Technology i Østerrike la frem en angrepsklasse de kaller ChoiceJacking, der en ondsinnet ladeboks selv «bekrefter» brukervalget som skulle stanse dataoverføringen. Ifølge heise online kombinerer teknikken en manipulert USB-lader med en falsk Bluetooth-inndataenhet og utnytter USB Power Delivery for å bytte roller mellom vert og tilbehør.

Bekreftelsesdialogen som normalt ville stoppet angrepet, «only flashes up for seven hundredths of a second in tests», skriver heise, så kort at brukeren i praksis ikke rekker å se den. Forskerne demonstrerte varianter som virket på enheter fra Apple, Google, Samsung, Xiaomi og Huawei.

Angrepet krever en ulåst telefon

En viktig begrensning er at telefonen må være låst opp på et tidspunkt mens den er koblet til. ChoiceJacking fungerer ikke mot en enhet som står låst hele lade-økten, eller som er skrudd av. Både Apple og Google har dessuten tettet flere av hullene: Apple med iOS 18.4, som krever PIN eller biometrisk lås før USB-dataoverføring godtas, og Google i Android 15. Kaspersky bekrefter at «Both Apple and Google blocked these attack methods in iOS/iPadOS 18.4, and Android 15, respectively».

Slik beskytter du deg når du lader ute

Rådene er de samme som fagfolk har gitt i flere år, og de virker fortsatt hvis du følger dem:

Les også: iOS 27 er nå ute på iPhone: Norske brukere står uten den mest omtalte funksjonen

• Ta med egen strømadapter og bruk en vanlig stikkontakt, ikke en offentlig USB-port.
• Bruk en powerbank når du er på farten. Det gir deg full frihet fra ukjente ladepunkter, men reglene for hvor stor en powerbank kan være på fly er strenge og verdt å sjekke før avreise.
• Skaff en USB-datablokkerer, en liten adapter uten datapinner som kun slipper gjennom strøm.
• Bruk trådløs Qi-lading der du kan. Uten fysisk datakanal er angrepet umulig.
• Hold telefonen låst mens den lader, og velg kun strøm hvis en dialog dukker opp. På Android må du aktivt godta dataoverføring i USB-preferansene før det skjer, og iPhone-brukere skal avvise «Stol på denne datamaskinen?»-spørsmålet.
• Oppdater til minst iOS 18.4 og Android 15 hvis enheten støtter det, anbefaler Kaspersky.

Les også: Kjøper du iPhone 18 Pro i Norge: Batteriet er 232 mAh mindre enn USA-modellen