公共USB充電ポート：ジュースジャッキングとチョイスジャッキング

最近、空港や駅、車内にUSB充電ポートが設置されており、スマホのバッテリー切れを心配しないで済むようになってきました。しかし、USBポートの本来の役割は充電ではなくデータ通信です。この機能を悪用して、スマホなどモバイル機器のデータを盗まれたり、改竄されるリスクがあります。こうした手口をジュースジャッキング（Juice Jacking）攻撃と呼びます。

USB 3.0

まず、スマホやパソコンで普及している USB 3.0 のポートを見てみましょう。
全部で9つのピンがあり、このうちNo.1,4,7が充電用で、それ以外がデータ通信用です。スマホのデータをパソコンにバックアップしたり、逆にパソコンでダウンロードしたアプリをスマホに送ることができるのは、このデータ通信用ピンがあるからです。

Android

ところが、Android 4.0以前のスマホでは、初期状態でUSBケーブルを接続すると、スマホ内の全てのデータがアクセス可能になります。もし、USB充電ポートの先に悪意をもった第三者がいたり、プログラムが仕掛けられていたりすると、スマホ内のデータを盗まれてしまいます。
最新のAndroidであっても、Dropboxなどのファイル共有アプリがインストールされていたり、MTP（メディア転送プロトコル）が設定されていたりすると、データを盗まれる可能性があります。
さらに、UMS（リムーバブルディスクモード）に設定していると、USBポート側からマルウェアを送り込まれるリスクがあります。

とくに、USB充電ポートに差し込まれているUSBケーブルは絶対に使ってはいけません。そのケーブルは空港や鉄道会社が用意したものではなく、悪意のある第三者がマルウェアを歯根だけ－ブルかもしれないからです。

iPhone

iPhone も Android と同様のリスクがありますが、iOS 11.4.1（2018年7月リリース）から、端末ロックから1時間以上経過すると、Lightningケーブルによる通信ができなくなりました（iPhone側の設定で無効にできます）。

ジュースジャッキングからチョイスジャッキングへ

こうしてPCやスマホ側でジュースジャッキングを阻止するようになりましたが、あらたにチョイスジャッキング（choiceJacking: Compromising Mobile Devices through Malicious Chargers like a Decade ago）という攻撃手法が発見されました。まだ理論上のもので、実害は確認されていません。

チョイスジャッキングには3つの手法があるとされています。

AOAP（Android Open Accessory Protocol）経由の権限を利用し、充電器をHID（Human Interface Device）入力デバイスとして登録。ユーザー確認プロンプトに対して、攻撃者の充電器がHIDイベントを注入し、プロンプトを自動的に承認する。この手法は、ほぼすべての評価対象のAndroidデバイスで成功している。
悪意のある充電器がAndroidの入力サブシステムの競合状態を悪用するもので、USBデータ接続の開始時に大量の入力イベントを生成して「入力イベントキュー」を埋めることにより、事前に注入された入力イベントが自動的にユーザー確認プロンプトを承認する。
USB接続している充電器がBluetooth HIDデバイスを偽装して、ユーザー確認プロンプトへの同意をリモート実行する。これはiOSでも有効だ。

これらのチョイスジャッキングを使うと、Androidでは、充電器への接続から1秒前後でファイルの抽出やコード実行が可能となりました。iOSでは、写真や動画へのアクセスにとどまるものの、ファイルの抽出が可能でした。

「公共Wi-Fiを避ける」は時代遅れのアドバイスか？

「ハックロアを止めろ」サイトでは、2025年（令和7年）11月24日に、専門家たちが時代遅れのセキュリティアドバイスを止めてほしいという書簡を公開しました。この中で、「公共のUSBポートからデバイスを充電しないでください」は時代遅れのアドバイスと断じています。

ハックロアとは、ハッキングと民間伝承、つまりデジタルセキュリティに関する現代の都市伝説を組み合わせた造語です。ハックロアには根拠がなく、一般の人々が実際に遭遇する日常的な脅威ではなく、スパイスリラー風のドラマチックな攻撃を防ぐことに重点を置いているといいます。

ハックロアを止めろの目的は、すべての人々に、セキュリティに関する正しい知識・意識を広めることにあります。彼らがハックロアと呼ぶ情緒的なHowToではなく、原理を知って、事実に元すいた手段で防衛することを期待しています。
これは正しい活動ですが、実際問題として、すべての人々がそこまでリテラシーを高められるとは限りません。
そこで、「スマホなどのUSBデバイスの電源を完全OFFにして、USB充電ポートに接続する」というアドバイスは堅持します。

対策

最も簡単で確実な対策は、スマホなどのUSBデバイスの電源を完全OFFにして、USB充電ポートに接続することです。
また、USBポートを使ってモバイルバッテリーを充電するのも有効です。マルウェア等はモバイルバッテリーに感染しないので。
どうしても電源ON状態で充電をしたい場合は、ACアダプタを持ち歩くといいでしょう。AC電源にはデータ通信線はありませんので。

データ通信ピンを除いた充電線用のケーブルが市販されていますが、スマホの機種によっては、充電されない場合があるようです。