Apple peut multiplier les mesures de sécurité et de protection des données dans l'iPhone, il demeure toujours un point de fragilité qu'il sera bien difficile d'améliorer : le code numérique ou le mot de passe qui permet de déverrouiller le smartphone. Le Wall Street Journal relate l'expérience malheureuse de plusieurs victimes d'une méthode de vol assez récente qui les dépouille de leurs économies et les prive de l'accès à leur compte iCloud.

Les malandrins se postent dans des bars et font semblant de socialiser avec leurs victimes dans l'espoir de les voir déverrouiller leur iPhone. Durant la soirée, ils demandent par exemple de se rendre sur un réseau social ou de prendre un selfie. Ces interactions renseignent les voleurs sur le code de déverrouillage du smartphone, en toute discrétion. Une fois l'iPhone en leur possession — lorsque la victime est bien alcoolisée ou carrément en versant de la drogue dans son verre —, c'est malheureusement trop tard.

Les escrocs peuvent accéder aux applications bancaires installées sur l'iPhone (PayPal, Venmo…) et ainsi réaliser des transactions à leur profit — ce d'autant qu'ils peuvent aussi piocher dans le trousseau iCloud… Rien ne les empêche de souscrire une Apple Card au nom de l'utilisateur pour siphonner la ligne de crédit. Et le deuxième facteur d'authentification n'est pas non plus une protection puisque les malfaiteurs sont en possession de l'appareil de confiance de l'utilisateur.

Mais avant de mettre le souk dans les comptes bancaires, les pendards changent tout de suite le mot de passe du compte iCloud. La section Mot de passe et sécurité des réglages de l'identifiant Apple permet en effet de le modifier simplement en saisissant non pas le mot de passe du compte, mais simplement le code de déverrouillage du smartphone.

Lorsque la victime s'aperçoit du vol de son iPhone, il est trop tard : son mot de passe ayant été changé à son insu, il lui est impossible de verrouiller l'appareil à distance ou d'activer le mode Perdu dans iCloud.com ou depuis l'app Localiser sur un appareil tiers (lire la fiche d'assistance d'Apple ainsi que la procédure à suivre en cas de perte ou de vol).

Une fois que les voleurs ont bien pressuré l'iPhone, ils peuvent effacer tous les réglages et revendre l'appareil parfaitement fonctionnel à un bon prix. Cette méthode n'implique aucune difficulté technique, elle nécessite simplement une bonne dose d'entregent et un peu d'ingénierie sociale.

Un porte-parole d'Apple a expliqué au WSJ que le système de changement de mot de passe du compte iCloud a été conçu pour aider les utilisateurs ayant perdu le sésame. Ça part d'un bon sentiment mais il y a ici une sécurité à renforcer pour éviter de perdre complètement l'accès à son compte iCloud et aux données qu'il contient. Peut-être faudra-t-il répondre à des questions personnelles en plus du code ?

En théorie, Face ID ou Touch ID peuvent limiter l'interception du code de déverrouillage. Néanmoins, les autorités new-yorkaises ont prévenu que cela n'empêchait pas les voleurs de faire du grabuge dans l'iPhone : ils déverrouillent l'appareil avec la tête ou le doigt de l'utilisateur complètement éméché et inconscient de ce qui se passe ! La mairie recommande même aux fêtards de désactiver la reconnaissance faciale, ce qui nous parait quelque peu inconsidéré.

« Nous compatissons avec les utilisateurs qui ont vécu cette expérience et nous prenons très au sérieux toutes les attaques contre eux, aussi rares soient-elles », déclare ce même porte-parole, qui ajoute que ces actes criminels restent rares car il faut posséder à la fois le code de déverrouillage et l'iPhone. Néanmoins, « nous continuerons à faire progresser les protections pour aider à sécuriser les comptes des utilisateurs ».

En attendant, on peut toujours opter pour un code alphanumérique long (dans les réglages Face ID et code) et couvrir l'écran du smartphone quand on le déverrouille en public. Et mieux vaut éviter de stocker le mot de passe de ses applications bancaires dans le trousseau iCloud, choisissez plutôt une app tierce comme 1Password dont l'accès est verrouillé par un autre mot de passe que le code de déverrouillage de l'iPhone.