El cable espía que roba tus datos existe de verdad — el que dicen que te van a dejar tirado en la calle, no tanto

Esta semana circuló una alerta —en Argentina primero, y como suele pasar, replicada después en otros países— advirtiendo que hay cables USB abandonados en la calle con chips espía adentro, listos para robarte contraseñas apenas los conectes. La nota cita a "especialistas en ciberseguridad" sin nombrar a ninguno, y no menciona un solo caso con víctima, fecha o lugar. Eso no significa que el tema sea puro invento: la tecnología que describe existe, está documentada desde hace años y es genuinamente inquietante. Lo que no existe es evidencia de que esté pasando de la forma en que la están contando.

La parte real: el cable sí puede ser un arma

El O.MG Cable es un producto real, creado por el investigador Mike Grover, conocido como "MG", y presentado en 2019 en DEF CON, una de las conferencias de ciberseguridad más importantes del mundo. Se ve idéntico a un cable de carga Lightning o USB-C común, pero adentro esconde un microcontrolador y un chip WiFi capaces de registrar teclas (los modelos Elite guardan hasta 650.000 pulsaciones, según la ficha del fabricante) e inyectar comandos como si los tipeara un atacante, y se controla de forma inalámbrica por su propia red WiFi. Según el análisis de Bastille, el alcance es el de una red de 2,4 GHz común y depende mucho del edificio: piensa en un estacionamiento, una oficina contigua o un lobby, no en un punto lejano; Bastille desmiente expresamente que pueda controlarse a una milla de distancia. En diciembre de 2024, la empresa Lumafield le hizo una tomografía industrial a un cable O.MG USB-C y encontró una antena oculta y un segundo chip pegado bajo el microcontrolador principal, unidos con cables tan finos que el escáner necesitó ajustes especiales para mostrarlos.

Nada de esto es exagerado. El problema es lo que la alerta viral no dice: ese cable se vende por más de cien dólares como herramienta profesional de pruebas de seguridad —lo usan equipos de "red team" contratados por empresas para poner a prueba sus propias defensas, no está pensado para tirarse al azar en una banqueta con la esperanza de que alguien lo levante.

La parte que sí está comprobada: dejar dispositivos para que alguien los conecte funciona

Existe una técnica real y bien estudiada llamada USB drop attack, pero no es la de un cable en la calle — es dejar memorias USB (no cables) en estacionamientos, baños o recepciones de una empresa específica. Un estudio de la Universidad de Illinois en Urbana-Champaign, dejando 297 memorias USB repartidas por el campus, encontró que el 98% fueron recogidas, y casi la mitad terminó conectada a una computadora. La técnica funciona — pero apunta a empleados de un objetivo puntual, dentro de pruebas de seguridad autorizadas, no a peatones al azar.

La parte que lleva años advertida, sin casos públicos confirmados

El término "juice jacking" nació en 2011, en la conferencia DEF CON, y se refiere a cargadores públicos en aeropuertos u hoteles modificados para robar datos al conectar tu teléfono. La Comisión Federal de Comunicaciones de Estados Unidos (FCC) lo advierte desde 2019 (aviso actualizado en 2021), y en abril de 2023 el FBI de Denver y la FCC volvieron a alertar al respecto. Es la misma familia de amenaza que la del cable callejero. El periodista de seguridad Brian Krebs señaló entonces algo revelador: el investigador que popularizó el término no conocía relatos públicos de quioscos de carga manipulados encontrados en el mundo real, y un funcionario de la FCC dijo que no habían visto un aumento de quejas de consumidores. Esa era la situación en 2023; no conocemos casos públicos confirmados. La amenaza técnica es real; la evidencia de que ocurre a escala, no.

Por qué este tipo de alerta se repite tanto

Un cable espía real cuesta más de cien dólares y requiere que alguien lo deje específicamente donde tú vas a estar. Fabricar y abandonar cientos de estos al azar, con la esperanza estadística de que una persona cualquiera lo levante y lo conecte, no tiene sentido económico para un estafador — hay formas mucho más baratas y efectivas de robar datos, como el correo con caracteres invisibles que ya documentamos. Eso no quiere decir que sea imposible; quiere decir que no hay registro de que esté pasando así, y la nota que probablemente escuchaste tampoco aporta ese registro.

Qué hacer de todas formas

• No conectes ningún cable, memoria USB o dispositivo que no sea tuyo, sin importar qué tan remota sea la probabilidad — es una precaución gratuita, no una que te cueste algo.
• Si necesitas cargar en un lugar público, usa un bloqueador de datos USB (un adaptador barato que solo permite el paso de corriente, no de datos) o directamente un enchufe de pared con tu propio cargador.
• Desconfía más de la fuente de la alerta que del objeto en sí. Si un texto viral cita "especialistas" sin nombrar a nadie ni mostrar un caso real, trátalo como lo que probablemente es: una advertencia genérica reciclada, no un reporte de un incidente confirmado.

Si tienes evidencia real de un caso de este tipo —no un rumor, sino un cable analizado o un peritaje— mándanos la evidencia por el canal de alertas. Es exactamente el tipo de caso que nos interesa confirmar o descartar con datos.

Corrección (4 de octubre de 2026): una versión anterior decía que el cable puede controlarse "a más de 60 metros" (Bastille no da esa cifra y desmiente los alcances exagerados), citaba un precio de unos $179 dólares que no consta en las fuentes, y afirmaba que había "más de diez años de advertencias oficiales" (el término nació en 2011 y las advertencias oficiales que citamos son de 2019 a 2023). También suavizamos "no existe un solo caso documentado" a "no conocemos casos públicos confirmados" y añadimos las fuentes del escaneo de Lumafield.