Le Wall Street Journal relate l'expérience malheureuse de plusieurs victimes d'une méthode de vol assez récente qui les dépouille de leurs économies et les prive de l'accès à leur compte iCloud.
Les escrocs agissent dans des bars où ils font semblant de socialiser avec leurs victimes dans l'espoir de les voir déverrouiller leur iPhone. Durant la soirée, ils demandent par exemple de se rendre sur un réseau social ou de prendre un selfie. Ces interactions renseignent les voleurs sur le code de déverrouillage du smartphone. Une fois l'iPhone en leur possession (lorsque la victime est bien alcoolisée ou carrément en versant de la drogue dans son verre) la partie est gagnée pour eux.
Les malandrins commencent par changer le mot de passe du compte iCloud. La section Mot de passe et sécurité des réglages de l'identifiant Apple permet en effet de le modifier simplement en saisissant non pas le mot de passe du compte, mais simplement le code de déverrouillage du smartphone.
Lorsque la victime s'aperçoit du vol, il est trop tard: son mot de passe ayant été changé, il lui est impossible de verrouiller l’iPhone à distance ou d'activer le mode Perdu dans iCloud.com ou depuis l'app Localiser d’un appareil tiers.
Les escrocs peuvent accéder aux applications bancaires installées sur l'iPhone (PayPal, Revolut, Venmo…) et ainsi réaliser des transactions à leur profit… d'autant qu'ils peuvent aussi piocher dans le trousseau iCloud! Rien ne les empêche de souscrire une Apple Card au frais de l'utilisateur. Et le deuxième facteur d'authentification n'est pas non plus une protection puisque les malfaiteurs sont en possession de l'appareil de confiance de l'utilisateur.
Une fois que les voleurs ont bien tiré profit de l'iPhone, ils peuvent effacer tous les réglages et revendre l'appareil parfaitement fonctionnel à un bon prix. Cette méthode n'implique aucune difficulté technique, elle nécessite simplement un peu de savoir-faire et d'ingénierie sociale.
En principe, Face ID ou Touch ID peuvent limiter l'interception du code de déverrouillage. Néanmoins, dans certains cas les voleurs sont parvenus à déverrouiller l’iPhone avec la tête ou le doigt de l'utilisateur complètement éméché et inconscient de ce qui se passait !
Il est donc recommandé d’opter pour un code alphanumérique long et de couvrir l'écran du smartphone quand on le déverrouille en public. Il vaut mieux également éviter de stocker le mot de passe de ses applications bancaires dans le trousseau iCloud, choisir plutôt une app tierce comme Dashlane ou 1Password dont l'accès est verrouillé par un autre mot de passe que le code de déverrouillage de l'iPhone.
