Les malandrins qui « récupèrent » des iPhone ou des iPad verrouillés par le compte iCloud des utilisateurs légitimes ont plusieurs moyens de débloquer la situation… et se mettre beaucoup d’argent dans la poche. Dans une passionnante et longue enquête, le site Motherboard décrit ces méthodes étonnantes.

Un appareil iOS est « protégé » de multiples manières, le code de déverrouillage bien sûr, mais aussi par l’identifiant iCloud. Un utilisateur qui a perdu ou qui s’est fait subtiliser son iPhone peut depuis un simple navigateur web se rendre sur iCloud.com et verrouiller à distance le terminal. Un message apparait alors sur l’écran de l’appareil, demandant à la personne qui l’a retrouvé de contacter le propriétaire légitime¹.

À première vue, un iPhone ou un iPad verrouillé par iCloud n’a aucun intérêt, si ce n’est de le désosser pour en revendre des pièces détachées. Une opération technique et contraignante. Faire « sauter » la protection iCloud permet en revanche de vendre un appareil vierge et complètement fonctionnel. Le jeu en vaut donc la chandelle…

Débloquer par hameçonnage

La première méthode consiste tout d’abord à obtenir le maximum d’informations sur le terminal bloqué. Des bases de données circulent qui permettent de savoir si la fonction Localiser mon iPhone est encore activée sur l’appareil convoité, ou si l’utilisateur a déjà alerté du vol de son iPhone. Pour ceux qui ne voudraient pas s’embêter à fouiller, des sites web offrent de faire le sale boulot contre un peu d’argent.

Pire encore, certains margoulins ont accès à GSX (Global Service Exchange), la base de données utilisée par Apple et les réparateurs agréés, afin d’obtenir des informations sur les appareils. Des détenteurs légitimes de comptes GSX ont été l’objet de tentatives d’hameçonnage pour leur faire cracher leurs identifiants, signe que cet accès est précieux.

Armés de ces informations, les forbans peuvent ensuite les exploiter dans des outils de phishing, avec un objectif diabolique : faire croire aux propriétaires des appareils volés que les terminaux ont été retrouvés et qu’ils peuvent donner en toute confiance les identifiants et mots de passe de leurs comptes iCloud. Évidemment, dès que ces malheureux ont fourni ces informations, l’iPhone ou l’iPad peut être débloqué et revendu à profits, l’utilisateur légitime n’ayant plus que ses yeux pour pleurer.

AppleKit et ProKit sont manifestement les deux « kits » d’hameçonnage les plus connus sur le marché noir des iPhone volés. Ils peuvent par exemple générer de fausses cartes GPS signalant où l’iPhone a été supposément retrouvé, ou envoyer un SMS ayant tout l’air de provenir d’Apple, afin que le propriétaire du terminal donne ses informations de connexion iCloud.

Ces boîtes à outils, visiblement très complètes, permettent aussi de gérer une liste des appareils volés et ils envoient même des notifications à la crapule dès qu’un utilisateur a ferré à l’hameçon. ProKit est vendu 75 $.

Débloquer dans un Apple Store

Il peut arriver que les pendards parviennent à leurs fins simplement en se rendant dans un Apple Store. Cela demande un peu de travail… et du bagout.

Les employés des boutiques du constructeur ont à leur disposition un outil, iCloud Support App, qui leur permet de connaitre le statut iCloud d’un appareil ; les managers peuvent aller plus loin en demandant le déblocage d’un terminal. Mais avant de réaliser cette opération, l’utilisateur doit prouver qu’il est bien le propriétaire de l’iPhone, de l’iPad ou de tout autre appareil protégé par iCloud.

Cette vérification passe par la présentation de la facture originale d’Apple ou des reçus des opérateurs. Des petits malins n’ont pas tardé à produire de faux documents pour se présenter dans un Apple Store avec sous le bras un appareil volé et bloqué présenté comme le leur. Si le faux est réussi, ils repartiront de la boutique avec un iPhone prêt à être revendu, tandis que le propriétaire d’origine sera Gros-Jean comme devant.

Cette méthode est efficace, tant que le manager ne flaire pas l’entourloupe. Selon un témoignage recueilli par Motherboard, chaque manager n’a « droit » qu’à 5 à 10 déblocages iCloud par jour, ensuite le système est fermé pour la journée. Le site rapporte aussi des cas de déblocage par courriel, via le support en ligne d’Apple. Même pas besoin de se présenter en boutique, mais il faut au préalable que les appareils n’aient pas été signalés comme volés.

Il existe une troisième méthode qui n’est pas documentée in extenso par l’enquête du site : en remplaçant le processeur de l’iPhone visé et en le déprogrammant afin de créer un « nouvel appareil ». Une opération ardue impliquant le vol d’un numéro IMEI, et qui n’est guère pratiquée que par certains ateliers chinois.

Le déblocage d’un iPhone protégé par iCloud peut rapporter gros. La vente des composants d’un iPhone X bloqué, acheté 220 $, peut rapporter 550 $… mais le revendre « vierge » revient à se mettre instantanément 700 $ dans les poches, comme l’explique le représentant d’une entreprise de réparation. Dans ces conditions, il est évident que le marché noir continuera de prospérer.