TL;DR : Juice Jacking Guard est un outil de sécurité Windows construit sur mesure par Mathieu Haye : il bloque tout périphérique USB inconnu avant que Windows ne lui fasse confiance, le classe selon quatre niveaux de risque et fonctionne entièrement en local, sans télémétrie ; il est téléchargeable gratuitement sur mathieuhaye.fr.
L’essentiel en 30 secondes
- Windows fait confiance à ce qu’un périphérique USB déclare être : une fausse clé annoncée comme clavier peut taper 200 commandes en quelques secondes.
- Honeywell a détecté 1 826 menaces USB uniques au premier trimestre 2025 dans les environnements industriels, dont 124 jamais observées auparavant.
- Juice Jacking Guard bloque tout périphérique inconnu dès l’insertion : environ 4 900 lignes de code, 20 modules, 11 sous-systèmes, 100 % local.
- Pour la plupart des PME, des stratégies Windows bien réglées et un antivirus standard suffisent ; l’outil sur mesure ne se justifie qu’en cas d’exposition spécifique.
Le problème : votre port USB est trop confiant
Un port USB fonctionne sur un principe simple : le périphérique déclare ce qu’il est, et le système d’exploitation le croit. Une clé de stockage dont le firmware a été modifié peut se présenter comme un clavier ; Windows l’accepte, et ce faux clavier tape alors des commandes à la vitesse machine, environ 200 commandes en quelques secondes. C’est la famille d’attaques dite BadUSB, popularisée par des outils comme le Rubber Ducky ou le câble O.MG, un câble de charge d’apparence banale qui embarque son propre implant. Aucun antivirus classique ne l’attrape à temps, parce qu’un clavier qui tape n’est pas un fichier à analyser.
Le phénomène n’est pas théorique. Dans son rapport 2025 sur les menaces industrielles, Honeywell a recensé 1 826 menaces USB uniques au premier trimestre 2025 sur les sites équipés de son système d’inspection, dont 124 jamais observées auparavant. Selon la même étude, relayée par Help Net Security, un incident de sécurité majeur sur quatre remontait à un périphérique USB branché sur une machine. Le sujet a même atteint le grand public en 2023, quand le FBI a déconseillé les bornes de recharge USB publiques dans les aéroports et les centres commerciaux, par crainte du juice jacking, l’infection d’un appareil pendant sa charge.
Pourquoi construire plutôt que chercher sur le marché ?
La question mérite d’être posée dans cet ordre, car c’est celle que je pose à mes clients. Le contrôle des périphériques USB existe bel et bien sur le marché : les grandes suites de sécurité d’entreprise proposent des modules de « device control ». Mais ces modules arrivent au sein de plateformes conçues pour des flottes de centaines de postes, avec une console d’administration, un déploiement à gérer et une facturation par poste. À l’autre extrémité, la réponse artisanale consiste à désactiver les ports USB, ce qui revient à se couper une main pour éviter de se brûler.
Entre les deux, pour un poste Windows isolé ou un petit parc, je n’ai pas trouvé d’outil qui fasse une chose précise et la fasse bien : intercepter chaque périphérique avant que le système ne lui fasse confiance, sans dépendre d’un cloud ni d’un abonnement. C’est exactement le cas de figure où construire a du sens : un besoin net, un périmètre étroit, et des solutions du marché qui ne le couvrent que comme sous-produit d’une offre bien plus lourde.
Ce qui a été construit, concrètement
Juice Jacking Guard est une application de bureau pour Windows 10 et 11. Son principe tient en une phrase : tout périphérique inconnu est bloqué avant même de pouvoir parler au système, puis classé selon quatre niveaux de risque. Un nouveau clavier doit prouver qu’un humain se trouve derrière : l’outil demande de presser une touche précise, affichée à l’écran, qu’un automate ne peut ni lire ni deviner. Les supports de stockage sont analysés en lecture seule dès l’insertion, avec une vérification de réputation optionnelle. Tout reste local : aucune télémétrie, aucune donnée envoyée à l’extérieur.
Côté fabrication, l’outil représente environ 4 900 lignes de code réparties en 20 modules et 11 sous-systèmes, livrés jusqu’au bout : un installeur Windows en fichier unique de 23,3 Mo, une désinstallation propre, et des empreintes SHA-256 publiées pour vérifier l’intégrité du téléchargement. Il est distribué gratuitement sur la page projets du site. L’IA a servi d’accélérateur de développement sur ce projet ; elle n’a dispensé ni de comprendre le fonctionnement des pilotes USB de Windows, ni de tester chaque scénario de blocage sur de vraies machines.
Qu’est-ce qu’une PME peut en transposer ?
La première leçon ne porte pas sur l’USB, mais sur la hiérarchie des risques. Le juice jacking fait des titres de presse ; pourtant, comme le note Dark Reading, la FCC (Federal Communications Commission) reconnaît elle-même qu’aucun cas réel n’a été documenté à ce jour. Le risque médiatisé et le risque mesuré ne se recouvrent pas : les 1 826 menaces recensées par Honeywell viennent de clés et de disques bien ordinaires, branchés par des employés et des prestataires. Une PME qui raisonne à partir des titres de presse protège la mauvaise porte.
La seconde leçon porte sur la décision de construire. Le tableau ci-dessous résume les quatre réponses possibles au risque USB, et à qui chacune s’adresse.
| Approche | Ce que ça couvre | Pour qui |
|---|---|---|
| Ne rien faire | Rien ; Windows accepte tout périphérique déclaré | Personne, dès qu’un poste touche des données métier |
| Stratégies Windows + antivirus | Blocage du stockage amovible, analyse des fichiers connus | La majorité des PME de 10 à 100 salariés |
| Suite de sécurité d’entreprise | Contrôle centralisé des périphériques sur toute la flotte | Parcs de plusieurs centaines de postes, avec équipe IT |
| Outil dédié sur mesure | Un périmètre précis, possédé, sans abonnement ni cloud | Exposition spécifique non couverte par le marché |
Soyons clairs : pour la majorité des PME, la deuxième ligne suffit. Des stratégies de groupe bien réglées, un antivirus tenu à jour et des chargeurs secteur en déplacement couvrent l’essentiel du risque, pour un coût proche de zéro. Commander un outil de sécurité sur mesure sans exposition documentée serait un mauvais investissement ; et un logiciel de sécurité sans plan de maintenance devient lui-même un risque. Le sur mesure se justifie quand votre situation sort du cadre : postes qui reçoivent des supports de tiers toute la journée, machine isolée qui pilote un équipement, contrainte forte de confidentialité qui exclut les consoles cloud.
C’est le même raisonnement que j’applique aux projets métier : la mission Horus Condition Report s’est conclue par un Pipedrive configuré plutôt que par un CRM construit, parce que le marché couvrait le besoin. Juice Jacking Guard est le cas inverse : le marché ne couvrait pas, alors l’outil a été construit, en petit, en local, et distribué.
Questions fréquentes
Le juice jacking est-il un risque réel pour une PME ?
Le juice jacking, l’infection d’un appareil via une borne de recharge USB publique, n’a aucun cas documenté à ce jour selon la FCC. Le risque USB réel pour une entreprise vient plutôt des périphériques piégés de type BadUSB et des supports de stockage infectés : Honeywell a détecté 1 826 menaces USB uniques au premier trimestre 2025 dans les environnements industriels.
Qu’est-ce qu’une attaque BadUSB ?
Une attaque BadUSB utilise un périphérique USB dont le firmware ment sur sa nature : une fausse clé de stockage se déclare clavier auprès de Windows, puis tape des commandes à la vitesse machine, environ 200 commandes en quelques secondes. Le Rubber Ducky et le câble O.MG sont les outils les plus connus de cette famille.
Quand une PME doit-elle investir dans un outil de sécurité sur mesure ?
Seulement quand trois conditions sont réunies : une exposition spécifique et documentée, des outils du marché qui ne couvrent le besoin que comme sous-produit d’une suite lourde, et un plan de maintenance clair. Pour la majorité des PME, des stratégies Windows bien réglées et un antivirus standard suffisent.
Un test simple pour situer votre propre exposition : comptez les périphériques USB inconnus branchés sur vos postes la semaine dernière, clés de prestataires comprises, et demandez-vous ce qui se passe aujourd’hui quand l’un d’eux est inséré. Si la réponse est « rien de particulier » et que ces postes touchent vos données clients, le sujet mérite 30 minutes. J’aide les PME à trancher entre réglages existants, outil du marché et application sur mesure ; on peut en parler lors d’un appel de cadrage gratuit.
Le take-away : la bonne question n’est jamais « faut-il construire ? » mais « le marché couvre-t-il mon risque réel, mesuré, pas celui des titres de presse ? ». Quand la réponse est oui, réglez ce que vous avez déjà. Quand elle est non, un outil étroit et possédé bat une suite large et louée.