Juice Jacking: האם בטוח לטעון את הטלפון בעמדת USB ציבורית או להשתמש בכבלים ומטענים זרים?

הסוללה נגמרת, אבל מי נמצא בצד השני של חיבור ה-USB או המטען?

זה תרחיש שכמעט כולנו מכירים. אנחנו בשדה התעופה, ברכבת, בבית מלון או בכנס, הסוללה בטלפון מתקרבת לאפס, שכחנו מטען או כבל ובדיוק לידנו נמצאת עמדת USB ציבורית שמציעה טעינה מהירה ונוחה.

אבל חיבור USB אינו מעביר רק חשמל. הוא מסוגל להעביר גם נתונים.

מכאן מגיע המונח Juice Jacking – תרחיש שבו חיבור USB שנראה כמו מקור טעינה תמים משמש גם לניסיון ליצור תקשורת עם המכשיר, לגשת למידע או, בתרחישים מסוימים, לנסות לנצל חולשה ולהפעיל קוד זדוני.

חשוב לשים את האיום בפרופורציה: Juice Jacking אינו נחשב כיום למתקפה נפוצה בשטח. לפי סקירה שפרסמה ESET ביולי 2026, למרות שהתרחיש הודגם במחקרי אבטחה והוא אפשרי מבחינה טכנולוגית, לא פורסמו עד כה מקרים פומביים ומאומתים של משתמשים שנפגעו באמצעות עמדת USB ציבורית- אבל זה לא אומר שזה לא קרה.

ובכל זאת, כאשר ניתן לצמצם את הסיכון באמצעות כמה הרגלים פשוטים מאוד, אין סיבה להתעלם ממנו.

מה זה בעצם Juice Jacking?

חיבור USB תוכנן לבצע שתי פעולות מרכזיות: להעביר חשמל לצורך טעינת המכשיר ולהעביר נתונים בין התקנים.

כאשר אנחנו משתמשים במטען האישי שלנו ומחברים אותו לשקע חשמל רגיל, הטלפון מקבל חשמל דרך המטען שבשליטתנו.

לעומת זאת, כאשר מחברים את הטלפון ישירות ליציאת USB שאיננו מכירים, אנחנו לא בהכרח יודעים מה נמצא בצד השני של החיבור.

עמדת הטעינה יכולה להיות מחוברת למערכת מחשוב, לרכיב תקשורת או להתקן שעבר שינוי.
בתרחיש של Juice Jacking, גורם זדוני עשוי לנסות לגרום לחיבור לנהל גם תקשורת עם המכשיר במקום לספק לו חשמל בלבד.

זהו בדיוק העיקרון שהופך את הסיכון למעניין מבחינת אבטחת מידע:

אותו כבל שמטעין את הטלפון יכול, בתנאים מסוימים, לשמש גם כערוץ לגניבת מידע ונתונים.

מה תוקף יכול לנסות להשיג?

אם גורם זדוני מצליח ליצור חיבור נתונים למכשיר, הוא עשוי לנסות לגשת למידע, לנצל חולשה או להשפיע על המכשיר.

הסיכון האפשרי כולל בין היתר:

• גישה לקבצים או לתמונות.
• ניסיון להתקין תוכנה זדונית.
• ניצול חולשה במערכת ההפעלה.
• ניסיון להשיג מידע המשמש להזדהות.
• יצירת חיבור לאביזר שאינו מוכר למשתמש.
• גישה למידע או לשירותים ארגוניים הזמינים מהמכשיר.

מכשירי iPhone ו-Android מודרניים כוללים מנגנוני הגנה שמצמצמים משמעותית את האפשרות ליצור חיבור נתונים ללא ידיעת המשתמש. במקרים רבים נדרש אישור מפורש, אימות או בחירה של מצב העברת נתונים.

לכן Juice Jacking אינו תרחיש שבו כל חיבור לעמדת USB משמעותו פריצה מיידית לטלפון.

הסיכון תלוי במכשיר, בגרסת מערכת ההפעלה, בהגדרות האבטחה ובאופן שבו המשתמש מגיב לבקשות שמופיעות על המסך.

אם כך, עד כמה Juice Jacking באמת מסוכן?

כאן חשוב להבחין בין אפשרות טכנולוגית לבין שכיחות בפועל.

Juice Jacking הוא רעיון שמוכר בעולם הסייבר כבר משנת 2011, אז הוצגה בכנס DEF CON הוכחת היתכנות שהדגימה כיצד עמדת טעינה יכולה לשמש גם כערוץ תקשורת.

מאז נערכו מחקרים נוספים שהציגו מטענים, כבלים ואביזרים שעברו שינוי ויכולים לנסות ליצור תקשורת עם המכשיר המחובר.

לכן אין צורך להימנע מכל יציאת USB כאילו מדובר במלכודת ודאית.

מצד שני, כאשר עומדת בפנינו בחירה בין חיבור ישיר ל-USB ציבורי לבין שימוש במטען אישי או Power Bank, עדיף לבחור באפשרות שבה אנחנו שולטים.

ChoiceJacking: למה המחקר בנושא עדיין מתפתח?

בשנת 2025 פורסם מחקר בשם ChoiceJacking, שהראה כיצד מטען זדוני יכול, בתנאים מסוימים, לנסות להתחזות להתקן קלט ולשבש את מנגנון האישור שמגן על חיבורי USB.

המחקר היה משמעותי משום שבמשך שנים אחת משכבות ההגנה המרכזיות הייתה ההנחה שהמשתמש צריך לאשר חיבור נתונים באופן מפורש.

המחקר הראה שגם מנגנוני אישור כאלה צריכים להמשיך להתפתח ולהתחזק. במקביל, יצרניות מערכות ההפעלה הוסיפו שכבות הגנה נוספות, ובהן דרישות אימות חזקות יותר לפני יצירת חיבור נתונים עם אביזר חדש.

גם כאן חשוב להדגיש: מדובר במחקר והוכחת היתכנות, ולא בעדות לקמפיין רחב של תקיפות Juice Jacking במרחב הציבורי.

למה Juice Jacking רלוונטי במיוחד לארגונים?

טלפון חכם אינו עוד מכשיר אישי שמשמש רק לשיחות ולהודעות.

עבור עובדים רבים הוא מהווה תחנת עבודה לכל דבר.

המכשיר עשוי לכלול או לספק גישה ל:

• דואר ארגוני.
• Microsoft 365 או Google Workspace.
• מערכות CRM.
• יישומי ענן.
• מערכות שיתוף קבצים.
• אפליקציות MFA.
• אנשי קשר ויומנים.
• קבצים עסקיים.
• מערכות פנים־ארגוניות.
• מידע אישי על עובדים ולקוחות.

לכן פגיעה במכשיר של מנהל, איש מכירות, עובד IT או עובד שנמצא בנסיעה עסקית אינה בהכרח אירוע פרטי בלבד.

היא עלולה להפוך לסיכון ארגוני.

זו גם הסיבה שמומלץ לכלול אבטחת מכשירים ניידים והרגלי שימוש בזמן נסיעות במסגרת הדרכות מודעות עובדים לאבטחת מידע — ולא להתמקד רק בפישינג ובסיסמאות.

אז איך טוענים את הטלפון בבטחה?

ההמלצות אינן מורכבות, וברוב המקרים אינן דורשות שינוי משמעותי בהרגלי העבודה.

העדיפו מטען אישי ושקע חשמל

כאשר קיימת אפשרות, עדיף לחבר את המטען האישי לשקע חשמל רגיל במקום לחבר את הטלפון ישירות ליציאת USB ציבורית.

כך אנחנו שולטים במטען ובכבל, ואין חיבור נתונים ישיר בין המכשיר לבין התשתית הציבורית.

השתמשו ב-Power Bank

סוללה ניידת היא אחת הדרכים הפשוטות ביותר להימנע מהצורך להשתמש בעמדות USB ציבוריות.

עבור עובדים שטסים לעיתים קרובות, Power Bank יכול להיות חלק מציוד הנסיעה הארגוני בדיוק כמו מתאם חשמל או מטען למחשב.

לא לאשר בקשות חיבור בלתי צפויות

אם בזמן הטעינה המכשיר מציג הודעה המבקשת:

• לתת אמון במחשב.
• לאפשר העברת קבצים.
• לתת גישה לתמונות.
• לבחור מצב USB להעברת נתונים.
• לאשר אביזר שאינכם מכירים.

אל תאשרו את הבקשה.

עמדת טעינה אינה צריכה גישה לקבצים או למידע כדי לספק חשמל.

השתמשו בכבל לטעינה בלבד או ב-USB Data Blocker

קיימים כבלים שמיועדים להעברת מתח בלבד ואינם מאפשרים מעבר נתונים.

אפשרות נוספת היא USB Data Blocker – מתאם קטן שמאפשר לחשמל לעבור אך מנתק את ערוצי הנתונים.

לעובדים המרבים בנסיעות או משתמשים לעיתים קרובות בתשתיות ציבוריות, מדובר בשכבת הגנה פשוטה וזולה יחסית.

עדכנו את מערכת ההפעלה

חלק משמעותי מההגנה מגיע ממערכת ההפעלה עצמה.

גרסאות חדשות של iOS ו-Android כוללות מנגנוני הגנה משופרים מפני חיבורי USB לא מוכרים אבל חשוב לשמור את המכשירים מעודכנים.
מכשיר ישן שאינו מקבל עוד עדכוני אבטחה עלול להיות חשוף יותר לתרחישים שכבר נחסמו בגרסאות חדשות.

הופיעה בקשה לא צפויה בזמן הטעינה? זה סימן לעצור

אין סימן אחד שמוכיח שמתרחשת מתקפת Juice Jacking, אבל יש מספר התנהגויות שצריכות להדליק נורה אדומה.

לדוגמה:

• המכשיר מבקש לתת אמון במחשב.
• מופיעה בקשה להעברת קבצים.
• המכשיר מזהה אביזר חדש.
• מצב ה-USB משתנה ללא פעולה מצד המשתמש.
• מופיעה אפליקציה לא מוכרת.
• הגדרות משתנות ללא הסבר.

אם משהו כזה מתרחש במהלך חיבור למקור טעינה שאינו מוכר, מומלץ לנתק את המכשיר.

במכשיר ארגוני נכון גם לדווח לצוות ה-IT או אבטחת המידע, במיוחד כאשר כבר אושרה בקשת גישה או כאשר מופיעה התנהגות חריגה לאחר החיבור.

לא רק Juice Jacking: נסיעה היא סביבת סיכון שונה

החשיפה בנסיעות אינה מסתכמת בעמדות USB.

בשדה תעופה, מלון או כנס, העובד נמצא מחוץ לסביבת העבודה הרגילה ועשוי להשתמש בשירותים ובתשתיות שאינם בשליטת הארגון.

בין הסיכונים שחשוב להכיר:

• רשתות Wi-Fi מתחזות.
• הודעות פישינג סביב הזמנה או טיסה.
• QR Codes שמפנים לאתר מתחזה.
• הצצה למסך במרחב ציבורי.
• גניבה פיזית של המכשיר.
• השארת טלפון או מחשב ללא השגחה.

זו נקודה חשובה גם מבחינה ארגונית:
לא נכון לבנות מדיניות סביב תרחיש אחד בלבד. נכון לבצע סקר סיכוני אבטחת מידע שממפה את נכסי המידע, אופן העבודה, ההרשאות והאיומים הרלוונטיים לארגון — ובהתאם לכך להגדיר את הבקרות המתאימות.

מה ארגונים צריכים לעשות בפועל?

להגדיר כללי אבטחה

מומלץ להגדיר במדיניות הארגונית מספר כללים פשוטים וברורים:

• שימוש במטען ובכבל אישיים.
• העדפת שקע חשמל על פני USB ציבורי.
• שימוש ב־Power Bank בעת הצורך.
• איסור על אישור חיבורי נתונים לא צפויים.
• נעילת המכשיר בזמן טעינה.
• דיווח ל־IT במקרה של התנהגות חריגה.

מדיניות טובה צריכה להיות מספיק פשוטה כדי שהעובד יוכל לזכור אותה גם כשהוא עומד בשער העלייה למטוס עם 3% סוללה.

לשלב Mobile Security בתוכנית ניהול הסיכונים

מכשירים ניידים צריכים להיות חלק ממפת הנכסים של הארגון.

יש לבחון בין היתר:

• אילו מכשירים מורשים להתחבר למידע ארגוני.
• אילו גרסאות מערכת הפעלה נתמכות.
• האם מופעלת הצפנה.
• האם ניתן לבצע נעילה ומחיקה מרחוק.
• כיצד מנוהלים מכשירי BYOD.
• אילו מערכות ומידע זמינים מהמכשיר.
• כיצד הארגון מגיב במקרה של אובדן, גניבה או חשד לפגיעה.

ארגון שאין בו פונקציית אבטחת מידע ייעודית יכול לנהל תהליכים אלה כחלק מ-שירותי CISO במיקור חוץ של אינפוגארד, המחברים בין ניהול סיכונים, מדיניות, בקרות, מוכנות לאירועים ודרישות רגולציה.

מידע נוסף על סיכונים סיכונים ונהלי אבטחת מידע במכשירי מובייל

ומה הקשר ל־ISO/IEC 27001?

Juice Jacking הוא דוגמה טובה לכך שאבטחת מידע אינה מסתכמת בחומת אש או בפתרון Endpoint.

תקן ISO/IEC 27001 לניהול אבטחת מידע מתבסס על ניהול סיכונים שיטתי ומחבר בין אנשים, תהליכים וטכנולוגיה. באתר אינפוגארד מתואר התקן כמסגרת לניהול אבטחת מידע המכסה מידע רגיש מסוגים שונים ומתורגמת לבקרות ארגוניות.

בהקשר של מכשירים ניידים ונסיעות, המשמעות יכולה לכלול:

• מיפוי מכשירים כנכסי מידע.
• הערכת סיכונים.
• מדיניות שימוש במכשירים ניידים.
• מודעות עובדים.
• ניהול הרשאות.
• טיפול באירועי אבטחה.
• ניהול ספקים.
• בקרות על ציוד שנמצא מחוץ למשרדי הארגון.

כך תרחיש נקודתי כמו טעינה בעמדת USB הופך לחלק מתמונה רחבה יותר של ניהול סיכונים.

ומה לגבי פרטיות, תיקון 13 ו-DPO?

מכשירים ניידים מכילים לא מעט מידע אישי, ולעיתים מאפשרים גישה ישירה למידע על לקוחות, עובדים וספקים.

לכן אם קיים חשד ממשי שמכשיר ארגוני נפגע או שמידע נגיש ממנו נחשף, האירוע כבר אינו רק שאלה של Mobile Security.

צריך לבדוק איזה מידע היה נגיש, האם מדובר במידע אישי או במידע בעל רגישות מיוחדת, אילו מערכות היו מחוברות והאם קיימות השלכות לפי חוק הגנת הפרטיות.

תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, העלה את רף האחריות והניהול של מידע אישי בארגונים בישראל.

כאשר קיים חשש לחשיפת מידע אישי, יש לשלב גם את ממונה הגנת הפרטיות בתהליך. שירות DPO במיקור חוץ של אינפוגארד נועד לחבר בין מדיניות פרטיות, ניהול סיכונים, תיעוד, ספקים, הדרכות והיערכות לאירועים – ולאפשר לארגון לנהל פרטיות כתהליך שוטף ולא רק כדרישה משפטית.

האם צריך להפסיק להשתמש בעמדות טעינה ציבוריות?

לא בהכרח.

המסר המרכזי בנושא Juice Jacking אינו שעמדת USB ציבורית היא בהכרח מלכודת.

המסר הוא שחיבור USB הוא ממשק תקשורת, ולא רק שקע חשמל.

כאשר קיימת חלופה פשוטה ובטוחה יותר, מטען אישי המחובר לשקע חשמל או סוללה ניידת – נכון להעדיף אותה.

כאשר אין חלופה, חשוב להשאיר את המכשיר מעודכן, לא לאשר בקשות חיבור בלתי צפויות ולהשתמש, כאשר הדבר מתאים, בכבל טעינה בלבד או בחוסם נתונים.

אבטחת מידע טובה מתחילה בהרגלים קטנים

קל להתמקד באיומים מורכבים: כופרה, Zero-Day, מתקפות שרשרת אספקה או גניבת זהויות.

אבל אבטחת מידע ארגונית נבנית גם מהרגלים יום־יומיים.

איזה Wi-Fi העובד בוחר בשדה התעופה. האם הוא משאיר את המחשב פתוח בכנס. האם הוא סורק QR Code בלי לבדוק את הכתובת. וגם, לאן הוא מחבר את הטלפון כשהסוללה כמעט נגמרת.

Juice Jacking אולי אינו האיום הנפוץ ביותר, אבל הוא מספק תזכורת מצוינת לעיקרון רחב הרבה יותר:

כאשר מחברים מכשיר ארגוני לתשתית שאינה בשליטתנו, צריך להבין לא רק מה אנחנו מקבלים ממנה — אלא גם מה היא יכולה לקבל מאיתנו.

איך אינפוגארד מסייעת לארגונים?

אינפוגארד מלווה ארגונים בבניית מעטפת אבטחת מידע ופרטיות שמחברת בין הסיכון הטכנולוגי לבין העבודה היום־יומית של העובדים.

השירותים כוללים בין היתר:

• הדרכות מודעות עובדים לאבטחת מידע.
• סקרי סיכוני אבטחת מידע וסייבר.
• CISO as a Service.
• ליווי לתקן ISO/IEC 27001.
• ליווי ויישום חוק הגנת הפרטיות ותיקון 13.
• שירותי DPO במיקור חוץ.

המטרה היא לא להפוך כל עובד לאיש סייבר, אלא לבנות סביבת עבודה שבה לעובדים יש כללים פשוטים וברורים, לארגון יש בקרות מתאימות, ולמנהלים יש תמונת מצב שמאפשרת לקבל החלטות על בסיס סיכון.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).