Un attacco BadUSB sfrutta la fiducia cieca del sistema nei dispositivi USB: una chiavetta (o un cavo, o un finto caricatore – i Rubber Ducky e simili) che si dichiara tastiera e, appena inserita, "digita" a velocità sovrumana una sequenza di comandi che aprono una shell, scaricano malware, esfiltrano. Il sistema vede una tastiera legittima, non un'arma – ed è per questo che "non aprire file sospetti" non basta: qui non si apre nulla, basta collegare.
USBGuard (Linux) mette una policy di autorizzazione tra il dispositivo e il sistema: solo i dispositivi USB esplicitamente permessi (per attributi hardware) vengono attivati; un dispositivo nuovo o inatteso resta bloccato finché non lo autorizzi. Neutralizza il BadUSB (la finta tastiera non viene attivata) e in generale l'inserimento non autorizzato.
Le difese complementari: sui laptop privacy, i kill-switch/blocco fisico delle porte; su Windows, le policy di restrizione dei dispositivi; e la regola comportamentale che nessun tool sostituisce – non collegare mai USB trovate o non fidate (la chiavetta "persa" nel parcheggio è un vettore d'attacco documentato). È hardening dell'endpoint fisico, parente della sicurezza fisica del server: il confine tra digitale e fisico è dove molte difese software finiscono.