五一小长假，准备去哪里玩？
打卡一整天都很容易拍出好看的照片，手机电量很快就不够用了。在这个时候，机场里的公共充电站、车站里的公共充电站或者商场里的公共充电站，或许能够解决紧急的困难。只要把USB线插到手机上，人好像就充满了能量，手机好像也充满了能量。
但这些公共充电站，可能背后有诈！
这是一种名为“Juice Jacking”（果汁挟持）的陷阱，它在智能手机刚兴起时便已存在，国内315晚会也曾曝光过 ，简单来说 ，它是将破解手机的硬件伪装成充电器 ，当手机接上电的片刻 ，手机里的数据、照片可能就会被偷走 。
十几年前，Juice Jacking陷阱刚开始兴起，Google和苹果等手机系统厂商就已发现这个问题，还通过添加USB连接认证等措施来防护，当有外部设备想访问手机文件时，会弹出一个提醒，你肯定也见过。
这时候，只要选择“不允许”，恶意程序就无法绕过手机的安全系统，然而没想到，时隔十年后，Juice Jacking的升级版本卷土重来，据Ars Technica报道，这种新骗局名为Choice Jacking（选择挟持）。
顾名思义，就是要绕过前面提到的这个安全选项。
厂商给手机的USB连接设置了一个确认机制，目的是阻拦Juice Jacking
一个设备，无法同时充当主机，例如电脑，以及外设，例如手机或键盘，USB的另一头，要么作为手机的外设，像键盘、U盘，要么作为主机，即电脑，不能既当主机又当外设。
USB设备连接到手机，连接认证只能通过手机上的“允许”按钮来进行。
Choice Jacking突破安全措施的方法十分“巧妙”，它先是将恶意主机伪装成“外设”，接着让这个“外设”转变为“主机”，具体的操作方式如下：
当用户连接到伪装成充电器的恶意主机，它首先会伪装成一个“USB键盘”，接着向手机发送按键指令，例如打开蓝牙连接。
接着，“USB键盘”会操控手机，手机会去配对一个“蓝牙键盘”，而这个“蓝牙键盘”实际上是由恶意主机伪装而成的。
接下来，这个怀有恶意的主机进行伪装，伪装成“主机”，然后向手机发起数据请求，在这个时候，手机的角色发生变化，变成了“外设”，于是手机上就会出现授权数据访问的提示。
最后，通过“蓝牙键盘”点击手机上的“同意”按钮来进行授权，如此，恶意主机便连接上了手机，并且获得了整台手机的数据访问权限 。
这是手机USB连接机制存在的一个结构性缺陷，并非代码漏洞，正因如此，这种骗局具有很强的普适性，不管是iOS系统还是Android系统，都可能成为这种攻击方式的目标。
多个品牌的十多款手机能被Choice Jacking攻破，这些品牌包括苹果、Google、三星、小米等，除苹果设备被攻破需23秒时间外，其他Android设备在几秒不到的时间就能被攻破，有趣的是，部分手机不支持完整的PD协议，这反而起到了一定防护作用，降低了被Choice Jacking技术黑入的风险。
把一根神秘的USB线连到自己手机上，不少人都能看出背后存在风险，然而要是把它包装成免费提供的充电端口，包括我在内的不少人，可能在手机电量危急时，会毫不犹豫地去使用 。
并且有不少普通用户，可能无法完全明白手机上突然弹出的“USB权限”弹窗背后的含义，他们以为同意的仅仅是与充电线的连接，于是就这样主动把防线关闭了。
厂商方面实际上已经做出了及时的反应，去年11月推送的Android 15更新更新了相关机制，上个月更新的iOS/iPadOS 18.4版本也更新了相关机制，经测试这两个更新都能够发挥作用。
但因为Android生态系统存在碎片化的状况，不少老设备不一定能及时获得相关更新，而且第三方的Android UI，像三星的One UI 7，即便使用了Android 15，也没有采用新的USB验证机制，仍然容易遭受Choice Jacking的攻击。
漏洞发现者Florian Draschbacher称，即便一年前已向设备制造商发出警告，他们也承认存在该问题，然而相关机制的完善与修复进度却极为缓慢，原因可能是，若要进一步强化USB访问手机的安全性，就得添加大量验证措施，这对用户体验影响颇大，所以制造商犹豫不决 。
更开放的Android生态，通过USB进行攻击，危害可能更大，因为若Android设备打开“USB调试”模式，Choice Jacking就能获得手机更深层权限，执行一些恶意底层文件，不过该功能入口较深，一般设备默认关闭。
对于Choice Jacking这种换汤不换药的安全问题，大众的态度，已不像十年前刚开始使用智能手机时那般风声鹤唳了。
不少人甚至对其十分不屑，认为这不过是“狼来了”的故事 ，当年Juice Jacking和公共Wi-Fi的危险也曾被过度炒作 ，但实际上并未造成太多危害 。
还有一种“投降主义”，明明知道山中有老虎，却还是偏向虎山行进，即便知道公共充电桩可能存在风险，却依然认为当下手机没电的问题更为紧要，甚至有人觉得，平日里个人信息已经泄露了很多，这次也不在乎 。
虽然Choice Jacking是一种很新的攻击方式，目前还没有关于它造成大量实际损失的报告，但是这并不代表背后的风险和威胁不存在。
出游时，最保险的做法是尽量使用自己的充电宝，或者大品牌的共享充电宝，即便有公共电源，最好也用自己的充电插头，不使用那些看着很可疑的USB充电线。
除此之外，还有其他一些防止手机被USB控制的小技巧：
给手机设置不同的密码，能有效挡住一些别有用心之人。给电子钱包设置不同的密码，也能有效挡住一些别有用心之人。至于淘宝、拼多多等网购平台，最好关闭“免密支付”，因为现在的面容验证方式很方便。至于淘宝、拼多多等网购平台，最好关闭“免密支付”，因为现在的指纹验证方式很方便。
如果你是iPhone用户，强烈建议你更新到iOS 18.4版本，这个版本强化了用户对USB配件连接的验证机制，它能有效防止一部分Choice Jacking的渗透。
如今的智能手机大多都要经过验证才可通过USB进行数据传输，要是使用手机时提示你进行验证，或者相关验证窗口快速闪过，那可能就得留意USB线另一端，是否有异常举动了。
很多安卓设备在连接USB充电时，会弹出“USB模式”的提示，通常情况下能够设置为“仅充电”，不要选择“传输文件”“传输照片”或者“USB调试模式”。
当然，我们没必要对此过度恐慌，平时保持手机系统正常升级，避免使用可疑USB线，不随便同意莫名的USB权限，如此便能很好规避这些安全陷阱。
最后，祝你五一快乐，给自己好好放个假吧！
