他竊取了數百部iPhone並掠奪了人們的畢生積蓄他向我們講述了作案手法——《華爾街日報》

明尼蘇達州拉什市——在這所明尼蘇達州懲教所，警衞允許你穿過帶刺鐵絲網圍欄與鋼製大門前，必須將手機存入儲物櫃。當你前來探訪一名專偷iPhone的慣犯時，這倒不算太麻煩。

不過我並不擔心亞倫·約翰遜會偷走我的iPhone。我來此是想弄明白他如何行竊。

“我已經在服刑了。現在只想站在事情的另一面，試着幫助人們。“26歲的約翰遜在這所高度設防監獄接受我們採訪時説道，未來數年他都將在此度過。

過去一年間，我與同事妮可·阮持續調查全國範圍內頻發的盜竊案：竊賊窺視iPhone用户輸入解鎖密碼後實施盜竊——進而通過失竊手機顛覆受害者的財務與數字生活。

2021至2022年間，約翰遜及其同夥在明尼阿波利斯市活動至少一年。夜間流連酒吧內外時，他會搭訕年輕人，狡猾地套取手機密碼後行竊。利用這串數字，他將受害者永久鎖定在蘋果 賬户之外，並通過銀行應用盜取數千美元，最終轉賣手機牟利。

這套精密的機會主義作案手法，既利用了蘋果生態系統漏洞，也瞄準了那些認為"手機被盜不過是損失硬件"的輕信用户。

上週，蘋果公司宣佈了失竊設備保護功能，這項功能很可能防範此類利用密碼實施的犯罪。

但即便你安裝了即將在iOS 17.3中推出的該軟件，仍會存在漏洞。最大的漏洞是什麼？就是我們自己。通過了解約翰遜的作案手法，我們可以學會如何更好地保護那些承載着我們生活方方面面的設備。

他是如何開始的

約翰遜並非高明的網絡罪犯。他自稱最初是在明尼阿波利斯街頭扒竊起家。“我當時無家可歸，“他説，“後來有了孩子需要錢，又找不到工作，就只能幹這個。”

很快他意識到，如果能破解手機，這些贓物的價值會高得多。約翰遜表示沒人教過他密碼破解技巧，某天深夜他擺弄手機時靈光乍現，發現瞭如何利用密碼解鎖各類受保護服務。

“那個密碼就是魔鬼，“他説，“有時是上帝——但更多時候是魔鬼。”

根據明尼阿波利斯警方的逮捕令顯示，約翰遜及其犯罪團伙其他11名成員累計獲利近30萬美元。而據他本人透露，實際金額可能更高。

“我當時沉迷於一次性搞到大錢，“他承認，“完全失控了。”

今年三月，有搶劫和盜竊前科的約翰遜對敲詐勒索罪認罪，被判94個月監禁。他在法庭上向法官表達了悔意。

他是如何做到的

根據對約翰遜、執法官員及部分受害者的採訪，以下是夜間作案的詳細過程：

**鎖定目標。**燈光昏暗且人潮湧動的酒吧成了他的完美獵場。大學年齡段的男性成為首選目標。“他們通常已經喝醉，根本搞不清狀況，“約翰遜説。相比之下，女性往往更具戒備心，對可疑行為更警覺。

**獲取密碼。**受害者們形容約翰遜"熱情健談”。有人告訴我他會主動提供毒品搭訕，另一些人則説他自稱説唱歌手，要求互加Snapchat好友。短暫交談後，受害者會毫無戒心地遞過手機，以為他只是輸入聯繫方式就會歸還。

“我會説’嘿，你手機鎖屏了，密碼是多少？‘他們就直接報出'2-3-4-5-6’這類數字，“約翰遜描述道。有時他還會偷錄受害者輸入密碼的動作。

一旦手機到手，他要麼立即離開，要麼轉交給同夥。

**快速封殺退路。**得手後幾分鐘內，約翰遜就會進入設置菜單修改Apple ID密碼。接着用新密碼關閉"查找我的iPhone"功能，確保受害者無法通過其他設備遠程定位——甚至抹除被盜手機。

約翰遜稱自己改密碼的速度"比説’超級無敵長單詞’還快”，“必須趕在老鼠發現奶酪前得手。”

**拿走錢。**約翰遜表示，隨後他會將自己的面部錄入Face ID，因為“一旦你的臉被錄入，就等於拿到了開啓一切的鑰匙。”生物識別認證讓他能快速訪問iCloud鑰匙串中保存的密碼。

儲蓄賬户、支票賬户、加密貨幣應用——他試圖轉出大筆資金。如果遇到無法進入這些金融應用的情況，他會在備忘錄和照片應用中尋找社保號碼等額外信息。

到次日清晨，錢款便已轉移。這時他會前往商店用Apple Pay購物，還會利用竊取的蘋果設備購買更多蘋果產品（通常是價值1200美元的iPad Pro機型）以換取現金。

全美各地的竊賊正在利用iOS系統漏洞，僅憑iPhone鎖屏密碼就能修改受害者的Apple ID密碼。圖片來源：Joanna Stern/The Wall Street Journal**銷贓手機。**最後，他會抹除手機數據並將其賣給Zhongshuang “Brandon” Su——根據逮捕令顯示，此人將贓機轉售至境外。

雖然約翰遜也偷過安卓手機，但他主要針對iPhone，因其轉售價值更高。在酒吧裏，他會觀察環境，尋找帶有標誌性三攝系統的iPhone Pro機型。他表示1TB存儲的Pro Max能賣到900美元，Su還收購了他購買的iPad。

蘇某對所收受贓物表示認罪，被判處120天監禁，在明尼蘇達州亨內平縣成人懲教所服刑。蘇某及其律師均未回應置評請求。

約翰遜表示，在行情好的週末，他能向蘇某售出多達30部iPhone和iPad，獲利約2萬美元——這還不包括他從受害者銀行應用、Apple Pay等渠道盜取的金額。

如何防範此類犯罪

在我結束明尼蘇達州之行一週後，蘋果公司宣佈推出"失竊設備保護"功能。這項安全設置很可能使約翰遜的大部分作案手法失效，但該功能不會自動啓用。

若用户不主動啓用，設備仍將處於與以往相同的風險中。開啓後，當手機離開家庭或工作場所等熟悉環境時，會新增一道安全防線。

即將在iOS 17.3中推出的"失竊設備保護"功能，可在手機離開家庭或工作場所等熟悉地點時提供防護。圖片來源：Joanna Stern/華爾街日報竊賊若要更改Apple ID密碼，必須通過Face ID或Touch ID生物識別驗證——即需要機主本人的面部或指紋。僅憑鎖屏密碼將無法完成操作。該流程還內置了一小時延遲機制，之後需再次進行生物識別驗證。添加新Face ID或關閉"查找我的iPhone"功能同樣需經歷此延遲流程。

部分功能（如訪問iCloud鑰匙串中保存的密碼或抹除iPhone數據）雖無需延遲驗證，但仍需通過Face ID或Touch ID認證。

犯罪分子可能仍有動機綁架擁有大量錢財的人，然後逐步突破這些安全防護。不過，這些保護措施很可能會嚇退那些只想搶走手機並逃離現場的小偷。

那麼還有哪些漏洞存在？一個獲得密碼的小偷仍然可以使用Apple Pay進行購物。任何沒有額外密碼或PIN保護的應用程序——比如你的電子郵件、Venmo、PayPal等——也同樣容易受到攻擊。

這就是為什麼你還應該：

• 為金錢類應用添加獨特的密碼，如Venmo和Cash App。
• 刪除任何包含個人信息（如密碼或社會安全號碼）的筆記或照片。將這些信息存儲在第三方密碼管理器（如Dashlane或1Password）的安全筆記中。
• 創建一個更強的iPhone密碼——一個包含字母和數字的密碼。

最明顯的是約翰遜的建議：注意周圍環境，不要泄露你的密碼。

如果這起犯罪事件教會了我們什麼，那就是現在一個單一設備包含了我們整個生活的入口——我們的記憶、我們的錢財等等。保護它們的責任在我們自己身上。

Nicole Nguyen為本文做出了貢獻。

*—**在此訂閲《Joanna Stern的科技事物》*每週通訊。現在一切都是科技事物。專欄作家Joanna Stern是你的嚮導，分析並回答你關於我們永遠連接的世界的問題。

出現在2023年12月21日的印刷版中，標題為《來自iPhone竊賊的安全提示》。