Cyberpediadoor Brain
NLDEENESFRIT

Juice jacking: gemanipuleerde USB-laadpunten

Een gemanipuleerd USB-apparaat of USB-poort kan een telefoon of computer infecteren. Wat het slachtoffer ziet en welke reflexen helpen.

In 30 seconden

Waar het gebeurt
Op een computer of telefoon die via USB is verbonden met een apparaat, een kabel of een gegevensdrager die de medewerker niet in de hand heeft.
Wat de aanvaller wil
Schadelijke software laten uitvoeren of een toetsenbord nabootsen om programma's te installeren12.
De reflex
Sluit geen enkele kabel, USB-stick of accessoire van onbekende herkomst aan op apparatuur van het bedrijf, en meld het aan het IT-team.
Als het al gebeurd is
Breng de mensen die voor de beveiliging zorgen meteen op de hoogte, zonder bang te zijn voor verwijten56.

Waar gaat het over

Juice jacking is het idee dat een USB-oplaadpoort, een vrij toegankelijk laadpunt of een achtergelaten kabel kan worden gebruikt om het apparaat aan te vallen dat erop wordt aangesloten. De hier aangehaalde bronnen gebruiken deze naam niet en beschrijven geen gemanipuleerd openbaar laadpunt. Ze documenteren wel het onderliggende mechanisme: een apparaat dat via USB is aangesloten, kan worden gebruikt om een computer te infecteren1, en USB-sticks en aangesloten apparaten zijn al gebruikt om bedrijven aan te vallen12.

Dit artikel houdt zich aan wat deze bronnen zeggen. Het meldt geen waarschuwing van een politiedienst en geen openbare demonstratie van een aanval, omdat er geen bron is die ze aantoont.

Directe vragen

Wat kan een USB-kabel of USB-poort aanrichten?

Volgens de MITRE-pagina over verwisselbare media kan een mobiel apparaat dat via USB op een computer is aangesloten, die computer infecteren. Dat kan via Android- of iOS-apparaten en in sommige gevallen via USB-oplaadkabels1. Wanneer een telefoon is aangesloten, kan die verschijnen als een schijf die via USB is verbonden. Als er compatibele schadelijke software op de telefoon staat, kan die de machine infecteren, vooral wanneer de functie Autorun is ingeschakeld1.

Wat ziet het slachtoffer?

De hier aangehaalde bronnen beschrijven niet welke meldingen op het scherm verschijnen, ook niet die waarin wordt gevraagd een apparaat te vertrouwen. Ze geven alleen aan dat de drager kan verschijnen als een schijfstation1. Ze beschrijven verder het injecteren van toetsaanslagen als een mogelijkheid van sommige accessoires2.

Kan een USB-accessoire zich voordoen als toetsenbord?

Volgens MITRE wel, bij accessoires en andere apparaten: onder de mogelijkheden van hardwareaccessoires die door red teams worden gebruikt, noemt de pagina het injecteren van toetsaanslagen2. Over een kabel zegt ze op dit punt niets. De groep FIN7 gebruikte schadelijke USB-sticks die zich gedroegen als virtuele toetsenborden om malware te installeren1.

Komt het risico vaak voor?

De MITRE-pagina over hardwaretoevoegingen schrijft dat openbare verwijzingen naar gebruik door aanvallers zeldzaam zijn, terwijl veel red teams ze gebruiken om een eerste toegang te krijgen2. Aan de hand van deze pagina kan het risico voor een openbaar laadpunt niet in cijfers worden uitgedrukt.

Gaat het alleen om diefstal van gegevens?

Nee. MITRE beschrijft ook exfiltratie via een fysieke drager, bijvoorbeeld een externe schijf, een USB-stick of een telefoon4. Vooral beschrijft MITRE het installeren van schadelijke software via verwisselbare media1.

1In de huid van de aanvaller1 min

De aanvaller richt zich op een eerste toegang. De bronnen beschrijven twee soorten methoden. De eerste is de verwisselbare drager die schadelijke software bevat en bij het aansluiten gebruikmaakt van Autorun1. De tweede is het geavanceerdere accessoire: MITRE merkt op dat deze hardwaretoevoegingen nieuwe functies in een systeem brengen, in plaats van alleen bestanden te verspreiden via een opslagmedium2.

CISA omschrijft social engineering als het gebruik van menselijke interactie om informatie over een organisatie te verkrijgen of in gevaar te brengen5. Bij de FIN7-post die hieronder wordt beschreven, kan men afleiden dat het slachtoffer de ontvangen drager zelf moet aansluiten, maar de bron zegt dat niet.

2Wat u op het scherm ziet1 min

In de hier aangehaalde bronnen staat niet wat er op het scherm verschijnt. Twee punten springen eruit. Een telefoon die op een computer is aangesloten, kan daar verschijnen als een schijfstation1. En de bronnen noemen sticks die een toetsenbord nabootsen en het injecteren van toetsaanslagen12: men kan daaruit afleiden dat die toetsaanslagen niet door het slachtoffer worden getypt, maar de bronnen zeggen dat niet.

3Onder de motorkapIT-teams1 min

De bronnen geven deze technische elementen:

  • Autorun: schadelijke software zoals Conficker gebruikte de Autorun-functie van Windows om zich via USB te verspreiden1.
  • Nep-toetsenbord: accessoires kunnen toetsaanslagen injecteren, kernelgeheugen uitlezen via DMA of netwerkverkeer wijzigen2.
  • Exfiltratie: gegevens kunnen naar een externe schijf, een USB-stick, een telefoon of een mp3-speler worden weggeschreven4.

Aan de verdedigingskant adviseert MITRE het gebruik van USB-apparaten en verwisselbare media in een netwerk te beperken3. De uitgewerkte maatregel omvat het uitschakelen van USB-poorten via groepsbeleid en een lijst van toegestane apparaten op serienummer. Ze voorziet ook in hulpmiddelen voor apparaatbeheer die bepaalde soorten hardware doorlaten, zoals toetsenborden en muizen, en andere blokkeren3. Autorun uitschakelen wanneer het niet nodig is en verwisselbare media beperken, behoren eveneens tot de maatregelen14.

4IncidentanalysesEchte gevallen1 min

DarkVishnya, fysieke toegang tot het netwerk van banken

MITRE noemt de groep DarkVishnya, die een Bash Bunny, een Raspberry Pi, goedkope netbooks en laptops fysiek aansloot in de omgeving van de beoogde organisatie om toegang te krijgen tot het lokale netwerk2. De bijbehorende verwijzing is een artikel van 6 december 2018 over banken die werden aangevallen via een directe verbinding met het lokale netwerk2. De hier aangehaalde bronnen geven de datum van de feiten zelf niet.

FIN7 en de per post verstuurde USB-sticks

MITRE meldt dat FIN7-actoren USB-sticks naar mogelijke slachtoffers stuurden. Ze bevatten schadelijke software die meerdere achterdeurtjes downloadt en installeert, in sommige gevallen ook voor ransomware-operaties1. De pagina verwijst naar twee bronnen van januari 2022, een van 7 januari 2022 en een van 13 januari 20221. In dezelfde passage staan sticks die als virtuele toetsenborden fungeerden1.

Een oplaadkabel als verwijzing

De pagina over verwisselbare media noemt onder haar verwijzingen een artikel van 12 augustus 2019 met de titel « This hacker’s iPhone charging cable can hijack your computer »1. De bron vat de inhoud niet samen: ze dient hier alleen om te laten zien dat de oplaadkabel bij de gevallen hoort die MITRE noemt.

5Vragen over gedrag1 min

Wat doet u in de praktijk?

De bronnen geven geen aanwijzing die specifiek is voor openbare laadpunten. De maatregelen die ze noemen, gaan over de organisatie:

  • Het gebruik van USB-apparaten en verwisselbare media op het netwerk beperken3.
  • Onbekende apparaten en accessoires blokkeren via de beveiligingsinstellingen van de werkplekken23.
  • Melden. CISA raadt iedereen die denkt gevoelige informatie te hebben prijsgegeven aan, de bevoegde personen in de organisatie te informeren, onder wie netwerkbeheerders5. Het NCSC adviseert gebruikers in nood niet de les te lezen, omdat wie sancties vreest zijn fouten niet meldt6.

Voor een medewerker komt dit erop neer dat hij of zij een gevonden of ongevraagd ontvangen kabel, stick of accessoire niet op de eigen werkplek aansluit en er vervolgens met het IT-team over praat. Dit gedrag volgt meer uit de gevallen FIN7 en DarkVishnya dan uit een regel die een bron noemt.

Fiche

Identificatie
CP-026
Vleugel
1. Aanvallen en technieken
Brain-competentie
Social engineering doorzien (outsmart_social_engineering)
Brain-reflex
cr-045
Schema
G5 · Beslisboom voor de reflex
Talen
de, en, es, fr, it, nl
Bronnen
6 bronnen gecontroleerd op 3 november 2026
Bronnen6 bronnen
  1. MITRE ATT&CK, “Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1091/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Limit Hardware Installation, Mitigation M1034 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1034/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Exfiltration Over Physical Medium, Technique T1052 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1052/ (geraadpleegd op 3 november 2026)
  5. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)
  6. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Juice jacking: gemanipuleerde USB-laadpunten”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/juice-jacking-openbare-usb-laadpunten/

BibTeX 
@misc{brain_cp026_nl_2026,
  author = {Brain},
  title = {Juice jacking: gemanipuleerde USB-laadpunten},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/juice-jacking-openbare-usb-laadpunten/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0