Comment éviter l'espionnage du code d'accès de l'iPhone

Un article très intéressant publié par Joanna Stern et Nicole Nguyen du Wall Street Journal met en évidence des méthodes de voleurs bien rodées qui consistent à espionner le mot de passe de l'iPhone d'une victime avant de voler l'appareil afin d'accéder au téléphone bien sûr, mais surtout aux données et aux porte-monnaies numériques. Un phénomène de plus en plus répandu et qui contourne la barrière biométrique.

Une belle occasion de proposer quelques conseils dans notre traditionnelle rubrique "iPhone Facile", anciennement intitulée "iPhone pour les nuls".

Une ruse vieille comme le monde

Toutes les victimes interrogées par nos confrères ont déclaré que leur iPhone avait été volé alors qu'elles se trouvaient dans des bars ou d'autres lieux publics la nuit. Si certains se sont fait subtiliser leur précieux de manière "soft", d'autres ont été physiquement agressées, ce qui est malheureusement la norme en 2023.

En connaissant le code d'accès de l'iPhone, un voleur peut facilement réinitialiser le compte Apple ID de la victime dans l'application Réglages, même si Face ID ou Touch ID est activé. Par la suite, le voleur peut désactiver Localiser sur l'appareil, empêchant ainsi le propriétaire légitime de suivre sa localisation ou d'effacer l'appareil à distance via iCloud. Le voleur peut également supprimer d'autres appareils de confiance du compte pour verrouiller davantage la victime.

Pire, le criminel peut également modifier les coordonnées d'un identifiant Apple et configurer une clé de récupération afin d'empêcher la victime de récupérer le compte.

Ainsi paré, un malfrat est alors en mesure d'utiliser Apple Pay, les applications bancaires en tout genre comme PayPal, Revolut, Coinbase et autre, même si Face ID ou Touch ID sont initialement configurés. Une fois le code en sa possession, il peut tout modifier et y mettre sa tête ou son empreinte digitale. Certains, aux USA, vont même jusqu'à commander une Apple Card en trouvant le numéro de sécurité sociale dans les documents ou photos de la victime.

Mentionnons également que les mots de passe stockés dans le trousseau iCloud permet au voleur de faire encore plus de ravages, comme les mails, les sites e-commerces, etc

La réponse d'Apple

En réponse au rapport, un porte-parole d'Apple a déclaré :

Les chercheurs en sécurité s'accordent à dire que l'iPhone est l'appareil mobile grand public le plus sûr, et nous travaillons sans relâche chaque jour pour protéger tous nos utilisateurs contre les menaces nouvelles et émergentes.

Nous compatissons avec les utilisateurs qui ont vécu cette expérience et nous prenons très au sérieux toutes les attaques contre nos utilisateurs, aussi rares soient-elles. Nous continuerons à faire progresser les protections pour aider à garder les comptes des utilisateurs en sécurité.

Apple n'a pas fourni de détails spécifiques sur les prochaines mesures qu'elle pourrait prendre pour renforcer la sécurité, peut-être dès iOS 17. Il est vrai que depuis des années, voler un iPhone sans avoir le code ne sert à rien, le téléphone étant verrouillé et inutilisable. Il faut en effet pouvoir désactiver Localiser et connaitre le mot de passe du compte Apple utilisé, même après restauration.

Comment rester protégé

Dans un tweet, Stern a recommandé qu'Apple ajoute des protections supplémentaires à iOS et introduise des options supplémentaires de récupération des comptes Apple ID.

Nous avons également des suggestions pour Apple, notamment

🔴 Ajouter une protection supplémentaire à iOS pour modifier un mot de passe d'identifiant Apple.
🔴 Ajouter une protection renforcée du mot de passe au trousseau iCloud.
🔴 Ajouter des options supplémentaires de récupération de compte.

(🧵6/7)

— Joanna Stern (@JoannaStern) February 24, 2023

Joanna Stern a également recommandé aux utilisateurs de passer d'un code à quatre chiffres à un code alphanumérique, qui serait plus difficile à espionner pour les voleurs. Cette opération peut être effectuée dans l'app Réglages, sous "Face ID & Code d'accès" > "Modifier le code d'accès".

Autre conseil de bon sens, privilégiez fortement Face ID ou Touch ID lorsque vous êtes en public afin d'empêcher les voleurs d'espionner votre mot de passe. Dans les situations où la saisie du code d'accès est nécessaire, faites-le en cachant l'écran le plus possible, comme au distributeur de billets ou à la caisse quand vous réglez en carte.

Si vous avez d'autres idées pour améliorer la sécurité, c'est le moment !