La reciente actualización de iOS 17.3 no es una actualización cualquiera. Es una de las versiones intermedias de iOS 17 con mayor relevancia al incorporar un método de protección ante robos que tiene un curioso origen. Y es que probablemente no fuese una de las prioridades de Apple, pero una serie de actos vistos en Estados Unidos (y seguramente en otras partes del mundo) les hizo saltar las alarmas.
El funcionamiento de este modo antirrobo del iPhone se centra fundamentalmente en impedir que los ladrones tengan facilidades para hacerse con nuestras cuentas. Para ello se impide que puedan utilizar el código de seguridad para cambiar datos como la contraseña del ID de Apple o desactivar la función 'Buscar'. ¿Pero cómo iba un ladrón a saber el código que tenemos en el iPhone? Con ingeniería social muy estudiada.
De un pícaro ladrón a cambiar por completo el funcionamiento de iOS
Hace unas semanas, nuestro compañero Javier Lacort dedicaba un episodio del podcast de 'Loop Infinito' a hablar del curioso origen del método de protección que añade iOS 17.3. Citaba para ello a la periodista estadounidense Joanna Stern, quien detalló en The Wall Street Journal la historia de cómo surgió todo. De hecho, Stern venía ya advirtiendo en anteriores ocasiones de cómo los ladrones tiraban de picaresca para aprovechar una vulnerabilidad de iOS que llevaba años presente y de la que Apple no se había percatado.
Hay varios casos como el de Aaron Johnson, un conocido ladrón de iPhone con el que la periodista se entrevistó a colación de esta funcionalidad. Johnson, que se encuentra ya en prisión por robos de iPhone, le detalló con todo lujo de detalles el modus operandi que llevaba a cabo y que comparte con otros ladrones en Estados Unidos.
Ya advertimos que probablemente no sea cosa de este país y que a buen seguro sea algo extendido en Latinoamérica, Europa y, lamentablemente, en todo el mundo.
Universitarios de fiesta, las víctimas favoritas de los ladrones
A modo de introducción/resumen, decir que la técnica consiste básicamente en ganarse la confianza de la víctima y averiguar su código de desbloqueo. Cuenta Johnson que los bares de copas y otras salas de fiesta eran sus escenarios favoritos, dado que tenía más posibilidades de captar víctimas aprovechando el ambiente festivo y, por qué no decirlo, que en algunos casos también estaban embriagados por el alcohol.
Fijarse en el módulo de cámaras era una buena forma para Aaron Johnson de distinguir a quienes llevaban un iPhone
Fundamentalmente se fijaba en jóvenes universitarios. Cuenta que los observaba durante unos minutos, fijándose en que fueran usuarios de iPhone. El por qué seleccionaba móviles de Apple y no Android tiene su razón de ser en que, según comentaba Johnson, los iPhone no sólo son más fáciles de vender en mercados de segunda mano, sino que alcanzan un mayor precio de reventa que otros dispositivos. Pero sobre todo que es en estos dispositivos en los que podía explotar las vulnerabilidades.
Y aquí es donde entra de lleno contar qué ocurría antes de iOS 17.3. En versiones anteriores (también en iOS 17.3 si no se activa el nuevo modo de protección) es posible modificar funciones de seguridad con sólo introducir el código de seguridad del iPhone. Incluso para cerrar sesión del ID de Apple o desactivar la función 'Buscar mi iPhone' sirve con ese único código. Aunque quizás lo más llamativo es que se puede acceder al apartado de contraseñas.
Retomando las noches de fiesta de Johnson observando posibles víctimas, este tenía diferentes técnicas para obtener el código de seguridad. Algunas eran tan simples como tratar de simpatizar con ellos, usando incluso la venta de drogas como excusa. En un momento dado les solía pedir el iPhone para agregarse a Snapchat, red social que sigue muy de moda entre los jóvenes norteamericanos. En un momento dado fingía que el iPhone se había bloqueado para pedirles amistosamente el código (o que lo introdujesen ellos) y entonces él memorizarlo.
Al final todo parte de ganarse la confianza de personas que están en un ambiente festivo y relajado. Aunque también detalla otras técnicas como grabarles a distancia en vídeo para así poder ver qué código utilizan al desbloquear sus iPhone. A veces, sencillamente estaba cerca y le servía su propia vista para observar qué numeración utilizaban sus víctimas.
¿Qué se hacía tras tener el iPhone robado en sus manos?
El robo del iPhone en sí es probablemente la parte más sencilla de todo, pese a ser la más peligrosa. Johnson no lo detalla, pero por desgracia está todo escrito y son muchas las técnicas que utilizan ladrones de objetos para robarlos de forma silenciosa. Lo importante es lo que hacía después.
Los pagos con Apple Pay eran la forma más rápida y segura de gastar el dinero de las víctimas
Ya alejado de las víctimas, Johnson tenía una llave de acceso vital para acceder a toda la información de la víctima. Cambiaba la contraseña del ID de Apple para evitar que la víctima pudiese localizarlo, borraba el rostro de la víctima de Face ID y añadía el suyo… Y todo simplemente con el código de seguridad del iPhone que su legítimo propietario estableció.
Por supuesto, Johnson llegó a sacar mucho dinero con los iPhone robados vendiéndolos de segunda mano. Sin embargo, no es eso lo que más dinero le daba. Literalmente robaba dinero a las víctimas y de la forma más sencilla posible al tener ya pleno acceso a su iPhone.
Tenía varias vías para ello, desde realizar compras y pagarlas con Apple Pay, hasta transferirse grandes fondos de dinero con acceso a sus aplicaciones bancarias porque, como ya decíamos anteriormente, también tenía acceso al llavero de contraseñas y si la víctima guardaba allí sus credenciales bancarias, Johnson podía verlas sin dificultad.
También llama la atención como rizaba el rizo en lo que a tráfico de productos Apple se refiere. Si bien compraba muchas otras cosas con Apple Pay, también solía aprovechar para comprar otros dispositivos de Apple como los iPad Pro para así poderlos vender siendo completamente nuevos. Curiosamente los iPad Pro porque, dice, en Estados Unidos están muy cotizados. Ofrecer esos dispositivos completamente nuevos a un menor precio llamaba mucho más la atención de los compradores y a la postre le hacía ganar más dinero que vendiendo un iPhone ya usado.
El final de la actividad de Johnson sucede hace casi un año, dado que fue detenido en marzo y juzgado posteriormente con una pena de 94 meses de prisión en consecuencia de todos los actos cometidos. Él mismo se declaró culpable en el juicio, además de implicar a otras 11 personas con las que actuaba y de las cuales no se sabe si ya han sido detenidas o si por el contrario siguen libres y actuando.
Cómo se blinda iOS 17.3 ante esa vulnerabilidad del sistema
En virtud del revuelo que causó en el país los reportajes de la periodista de The Wall Street Journal (el testimonio de Johnson sólo es el final), Apple empezó a desarrollar unas medidas de protección que no evitarán el robo del iPhone, pero sí protegerán nuestros datos y dinero haciendo que técnicas como las de Aaron Johnson no surtan efecto.
En el apartado de 'Face ID/Touch y código' de iOS 17.3 aparece ahora una nueva opción llamada 'Protección en caso de robo del dispositivo'. Función que de serie viene desactivada, por lo que es recomendable activarla.
Activar esta función es añadir una capa más de seguridad al requerir Face ID para determinadas acciones y en determinadas situaciones. Es decir, que para realizar cambios como los que hacían ladrones como Johnson será necesario sí o sí que se reconozca el rostro, sin posibilidad alguna de que se pueda utilizar únicamente el código.
Lo de "determinadas situaciones" viene porque, como ya se comenta en el citado apartado de ajustes, se activa únicamente cuando se está lejos de una ubicación de confianza, dejando así que lugares como nuestra casa o el trabajo queden exentos. Y es que se presupone que en estos lugares el riesgo de encontrar ladrones como Johnson no es en absoluto probable.
En Applesfera | Qué hacer si te roban tu iPhone: paso a paso para recuperar, bloquear o borrarlo en remoto
En Applesfera | Cómo crear una cuenta en iCloud desde cualquier dispositivo
Ver 23 comentarios