Il est devenu millionnaire en volant des iPhone et leur code d'accès

Aaron Johnson, un tristement célèbre voleur d'iPhone condamné, a révélé comment il avait exploité une faille dans le logiciel iOS d'Apple pour amasser une petite fortune en dérobant des téléphones et en pillant les comptes des gens. Interviewé dans un établissement pénitentiaire du Minnesota, Johnson a dévoilé les secrets de son procédé, qui consistait à cibler des jeunes hommes en état d'ébriété dans des bars, à récupérer leur code d'accès d'iPhone, puis à voler l'appareil. Il modifiait rapidement les mots de passe de l'identifiant Apple et désactivait la fonction "Localiser mon iPhone", verrouillant ainsi les comptes des victimes et lui permettant de transférer des sommes importantes à partir des applications bancaires et de crypto-monnaies installées.

Une arnaque bien huilée et très lucrative

La méthode d'Aaron Johnson était simple, mais diablement efficace comme en atteste ses propos relayés par The Wall Street Journal. Il commençait par engager la conversation avec ses futures victimes, souvent en se faisant passer pour un rappeur qui les ajoutait sur Snapchat, puis faisait en sorte qu'elles lui tendent leur iPhone afin qu'il y entre ses informations personnelles. À ce moment-là, il disait "Hé, ton téléphone est verrouillé. Quel est le code d'accès?'. Dans d'autres cas, il scrutait simplement les doigts de ses cibles.

Il s'éloignait ensuite avec le téléphone ou le passait à un complice. Quelques secondes après avoir pris les iPhone, Johnson se trouvait dans le menu Réglages et modifiait le mot de passe de l'identifiant Apple. Il utilisait ensuite le nouveau mot de passe pour désactiver la fonction "Localiser mon iPhone" afin que les victimes ne puissent pas se connecter sur un autre téléphone ou ordinateur pour localiser et même effacer à distance l'appareil volé. Mieux, il enregistrait sa tête dans Face ID parce que "lorsque vous avez votre visage là-dessus, vous avez la clé de tout".

Épargne, comptes chèques, applications de crypto-monnaie - il cherchait à transférer tout l'argent possible vers ses comptes. Et s'il avait du mal à accéder à ces applications, il cherchait des informations supplémentaires, comme des numéros de sécurité sociale, dans les applications Notes et Photos.

Mais il ne s'arrêtait pas là. Au matin, il se rendait dans les magasins pour acheter des produits à l'aide d'Apple Pay. Il utilisait également les appareils Apple volés pour acheter d'autres appareils Apple, le plus souvent des iPad Pro à 1 200 dollars, qu'il revendait en espèces.

Enfin, il effaçait le téléphone et le vendait à son complice Zhongshuang "Brandon" Su qui, selon son mandat d'arrêt, les vendait à l'étranger.

Lors d'un week-end réussi, il pouvait vendre jusqu'à 30 iPhone et iPad et gagner environ 20 000 dollars, sans compter l'argent volé par le biais des applications bancaires et d'Apple Pay.

94 mois de prison

À la suite de son arrestation et de ses aveux, M. Johnson a été condamné à 94 mois de prison pour racket. Son histoire met en lumière un problème de sécurité important pour les utilisateurs d'iPhone et a conduit Apple à introduire la protection contre les appareils volés dans sa nouvelle mise à jour logicielle, iOS 17.3. Cette nouveauté ajoute des mesures de sécurité supplémentaires, telles que l'obligation d'utiliser Face ID ou Touch ID pour des changements importants comme la modification du mot de passe Apple ID ou la désactivation de "Localiser mon iPhone", et introduit un délai dans ces processus pour ralentir les voleurs potentiels.

Comment protéger son iPhone ?

Cependant, des vulnérabilités subsistent. Les voleurs peuvent utiliser Apple Pay avec le seul code d'accès, et les applications sans mots de passe ou codes PIN supplémentaires restent vulnérables. Pour limiter les risques, il est conseillé aux utilisateurs d'utiliser des codes de passe distincts pour les applications financières, d'éviter de stocker des informations sensibles dans des endroits facilement accessibles comme Notes ou Photos, et de créer des codes de passe alphanumériques plus robustes pour leurs appareils. L'histoire de Johnson permet de rappeler qu'il faut rester vigilant et, surtout, ne pas faire confiance aux inconnus, ni utiliser son code en public. Préférez Touch ID ou Face ID.