FBI：小心偽裝成USB充電器的盜錄裝置KeySweeper

美國聯邦調查局（FBI）在今年4月底針對一款偽裝成充電器的盜錄裝置KeySweeper提出警告，由於有關KeySweeper的概念性驗證設計早在16個月以前便出爐，因此FBI此時的警告令人不禁懷疑當局已發現相關的攻擊行動，不過FBI並未對此多作說明。

知名硬體駭客Samy Kamkar是在2015年1月公布了KeySweeper的程式碼，還教導人們如何打造真實的KeySweeper裝置，這是一個採用Arduino開發版的裝置，偽裝成USB壁式充電器，但實際任務卻是透過無線網路側錄來自微軟無線鍵盤所傳遞的數據。

FBI表示，如果KeySweeper被擺放在辦公室或其他人們可能使用無線裝置的場所，駭客就能蒐集個人身份資料、智慧財產、商業秘密、密碼或其他機密資訊，此外，由於這些數據是在觸及CPU之前就被攔截，可能讓安全管理人員在追查資訊外洩管道時一頭霧水。

KeySweeper只能被用來攔截微軟特定型號的無線鍵盤所傳遞的訊息，受到影響的鍵盤雖然是在2011年以前製造的，但在坊間仍能購得。微軟則說明，不論是藍牙鍵盤或在2011年以後生產的無線鍵盤皆免受KeySweeper威脅。

由於Arduino裝置通常可模組化與程式化，FBI還擔心駭客可藉由各種通訊協定的漏洞，將KeySweeper改裝成能接收及解密其他無線裝置傳輸內容的工具。

FBI建議企業限制無線鍵盤的使用，或限制可用來充電的插座，也必須確定充電器的主人，以及儘快清除辦公環境中的陌生充電器。

在KeySweeper問世的16個月後才提出警告，FBI並未證實是否發現相關攻擊，Kamkar則說就算真的有人利用KeySweeper展開攻擊也不足為奇。