Útok přes USB a fyzická bezpečnost

Útoky přes USB rozhraní a obecně fyzický přístup k zařízení patří mezi méně medializovaná, ale reálná rizika - na rozdíl od phishingu nebo ransomwaru nevyžadují síťové spojení, "jen" chvilku fyzického kontaktu se zařízením nebo jeho příslušenstvím.

Co je BadUSB a jak funguje

Koncept BadUSB představili bezpečnostní výzkumníci Karsten Nohl a Jakob Lell na konferenci Black Hat v roce 2014. Princip spočívá v přeprogramování firmwaru v řadiči USB zařízení (např. flash disku) tak, aby se počítači vydávalo za jiný typ zařízení - typicky za klávesnici. Jakmile takto upravený "flash disk" připojíte, počítač jej rozpozná jako klávesnici a zařízení může bleskově odeslat sekvenci kláves, která spustí škodlivý příkaz, stáhne malware nebo otevře zadní vrátka - to vše dřív, než si uživatel všimne čehokoli podezřelého. Obrana proti BadUSB je technicky obtížná, protože útok zneužívá samotnou důvěru operačního systému k USB zařízením na úrovni ovladačů.

Prakticky nejdůležitější obranou je jednoduché pravidlo: nikdy nepřipojujte neznámý nebo nalezený USB flash disk ke svému zařízení - ani "jen na chvilku, abyste zjistili, čí je".

Co je juice jacking a jak reálné je toto riziko

Juice jacking je teoretický útok přes veřejné nabíjecí stanice (na letištích, v kavárnách) - upravený nabíjecí port nebo kabel by mohl zároveň s napájením přenášet i data a nainstalovat malware nebo odcizit obsah telefonu. FBI i americké úřady veřejnost před tímto rizikem opakovaně varovaly, nejnověji i v roce 2026.

Je ale důležité uvést fakta přesně: bezpečnostní firma ESET potvrzuje, že do poloviny roku 2026 nebyl zaznamenán žádný potvrzený reálný případ úspěšného juice jacking útoku mimo laboratorní prostředí - jde tedy primárně o teoretické a výzkumné riziko, ne o rozšířený útok, se kterým by se běžně setkávaly tisíce uživatelů. Výzkum z roku 2025 (tzv. ChoiceJacking, prezentovaný na konferenci USENIX Security) nicméně ukázal, že upravená nabíječka dokáže u některých telefonů obejít i bezpečnostní dialog "Povolit přenos dat/Pouze nabíjení" tím, že sama simuluje potvrzující dotyk uživatele - jde o nově objevenou techniku, na kterou výrobci reagují aktualizacemi.

Praktické doporučení i přes nízké riziko reálného útoku: na veřejných nabíjecích stojanech používejte vlastní napájecí adaptér do zásuvky nebo kabel určený jen k nabíjení (tzv. "USB data blocker"/"USB kondom"), a pokud telefon nabídne volbu režimu připojení, vždy zvolte "pouze nabíjení".

Fyzický přístup k zařízení - podceňované riziko

Odemčené zařízení bez dozoru

Většina útoků vyžadujících fyzický přístup nezačíná sofistikovaným hackingem, ale banálně - odemčeným telefonem nebo notebookem ponechaným bez dozoru. Během pár desítek sekund lze nainstalovat sledovací aplikaci, zkopírovat data nebo změnit bezpečnostní nastavení.

Krádež a ztráta zařízení

Šifrování disku (BitLocker, FileVault, šifrování úložiště na Androidu/iOS) je klíčovou obranou proti tomu, aby zloděj po odcizení notebooku nebo telefonu získal přístup k datům, i když zařízení fyzicky rozebere a disk vyjme.

Keyloggery a fyzická zařízení na odposlech

Existují malá hardwarová zařízení (USB keyloggery, "sniffer" adaptéry), která lze nepozorovaně zapojit mezi klávesnici a počítač ve sdíleném nebo veřejném prostředí (knihovna, coworking, firemní recepce) a zaznamenávat tak stisky kláves včetně hesel.

Porty na nabíjecích stanicích a sdílených počítačích

Kromě nabíjecích stojanů je rizikem i přímé připojení telefonu k cizímu, nedůvěryhodnému počítači (např. v internetové kavárně) kabelem umožňujícím přenos dat - zařízení se tím může vystavit stejnému riziku jako při juice jacking scénáři, jen z druhé strany.

Jak se chránit - praktická doporučení

• Zapněte šifrování disku na všech zařízeních (notebook, telefon) - u Windows 10/11 Pro přes BitLocker, u macOS přes FileVault, u moderních Android/iOS telefonů je šifrování úložiště obvykle výchozí po nastavení PIN/biometrie.
• Nastavte krátký čas automatického zamykání obrazovky (1-2 minuty nečinnosti).
• Nepřipojujte neznámé USB zařízení - nalezený flash disk na parkovišti nebo v kanceláři může být záměrně položená nástraha (tzv. "USB drop attack").
• Na veřejných nabíjecích stanicích volte vlastní adaptér do zásuvky nebo kabel bez datových pinů, případně zvolte v telefonu režim "pouze nabíjení", pokud se dialog zobrazí.
• V operačních systémech lze pro firmy nastavit zásady omezující automatické spouštění (autorun) a omezující USB porty jen na schválená zařízení (Windows Group Policy, mobilní správa zařízení - MDM).
• Nikdy nenechávejte odemčené zařízení bez dozoru, a to ani na pár minut - ve veřejném prostoru i na pracovišti.

Co o riziku "juice jackingu" skutečně říkají úřady

Americký FBI a FCC veřejně varovaly před nabíjením telefonu na neznámých veřejných USB nabíjecích stanicích už od roku 2023. FBI i FCC zároveň přiznaly, že v době vydání varování neexistoval žádný zdokumentovaný reálný případ útoku tímto způsobem mimo laboratorní demonstrace na bezpečnostních konferencích - riziko je tedy reálné technicky, ale v praxi vzácné.

Nejjednodušší obrana: "nabíjecí" kabel bez datových pinů

Existují speciální USB kabely a tzv. "USB data blocker" redukce, které fyzicky přenášejí jen elektrický proud, ne data - i při zapojení do napadeného portu tak nehrozí přenos malwaru.

Další fyzické útoky přes USB

• "USB drop attack" - útočník nechá záměrně "ztracený" USB flash disk na veřejném místě v naději, že ho někdo ze zvědavosti zapojí do pracovního počítače.
• BadUSB zařízení - vypadá jako běžný USB flash disk, ale obsahuje mikrokontrolér, který se počítači vydává za klávesnici a automaticky "napíše" škodlivé příkazy.

FAQ: Nejčastější otázky o USB a fyzické bezpečnosti

Je juice jacking na letištích a v kavárnách reálná hrozba?

Je to primárně teoretické a výzkumné riziko - podle bezpečnostní firmy ESET nebyl do poloviny roku 2026 potvrzen žádný reálný útok mimo laboratorní testy. Přesto je rozumné na veřejných nabíjecích stanicích používat vlastní adaptér nebo kabel bez datových pinů.

Co je USB data blocker a je potřeba ho kupovat?

Je to malý adaptér (někdy přezdívaný "USB kondom"), který fyzicky odpojí datové piny USB kabelu a propustí jen napájení. Pro běžné uživatele je jednodušší a levnější alternativou vlastní nabíjecí adaptér do síťové zásuvky, který datové riziko eliminuje úplně.

Mohu si BadUSB útok "koupit" jako hotové zařízení?

Ano, existují komerční nástroje pro penetrační testování (např. USB Rubber Ducky) založené na podobném principu - jsou legální pro autorizované testování vlastních systémů, ale zneužití proti cizím zařízením bez souhlasu je trestným činem.

Chrání šifrování disku i proti ztrátě zařízení, nebo jen proti krádeži dat na dálku?

Šifrování disku chrání především proti fyzickému přístupu - pokud zařízení ztratíte nebo je ukradené, bez znalosti PIN/hesla/biometrie nelze data přečíst, ani když si útočník disk fyzicky vyjme a připojí jinam.

Je bezpečné půjčit telefon na chvíli cizímu člověku, aby si zavolal?

Krátké půjčení pro telefonát je nízké riziko, pokud telefon zůstane ve vašich rukou nebo na dohled a nedojde k instalaci aplikací. Riziko roste, pokud telefon předáte bez dozoru na delší dobu.

Stačí mi nabíjecí powerbanka jako ochrana proti juice jackingu?

Ano - powerbanka přenáší pouze elektrický proud, žádná data, takže nabíjení z vlastní powerbanky je bezpečné i na veřejném místě.

Je riziko juice jackingu v Česku reálné?

Zdokumentované případy z reálného provozu jsou vzácné i celosvětově - jde spíše o teoretické riziko, kterému se ale lze snadno vyhnout vlastní nabíječkou nebo kabelem bez datových pinů.