他竊取了數百部iPhone並掠奪了人們的畢生積蓄他向我們講述了作案手法——《華爾街日報》
Joanna Stern
明尼蘇達州拉什市——在這所明尼蘇達州懲教所,警衞允許你穿過帶刺鐵絲網圍欄與鋼製大門前,必須將手機存入儲物櫃。當你前來探訪一名專偷iPhone的慣犯時,這倒不算太麻煩。
不過我並不擔心亞倫·約翰遜會偷走我的iPhone。我來此是想弄明白他如何行竊。
“我已經在服刑了。現在只想站在事情的另一面,試着幫助人們。“26歲的約翰遜在這所高度設防監獄接受我們採訪時説道,未來數年他都將在此度過。
過去一年間,我與同事妮可·阮持續調查全國範圍內頻發的盜竊案:竊賊窺視iPhone用户輸入解鎖密碼後實施盜竊——進而通過失竊手機顛覆受害者的財務與數字生活。
2021至2022年間,約翰遜及其同夥在明尼阿波利斯市活動至少一年。夜間流連酒吧內外時,他會搭訕年輕人,狡猾地套取手機密碼後行竊。利用這串數字,他將受害者永久鎖定在蘋果 賬户之外,並通過銀行應用盜取數千美元,最終轉賣手機牟利。
這套精密的機會主義作案手法,既利用了蘋果生態系統漏洞,也瞄準了那些認為"手機被盜不過是損失硬件"的輕信用户。
上週,蘋果公司宣佈了失竊設備保護功能,這項功能很可能防範此類利用密碼實施的犯罪。
但即便你安裝了即將在iOS 17.3中推出的該軟件,仍會存在漏洞。最大的漏洞是什麼?就是我們自己。通過了解約翰遜的作案手法,我們可以學會如何更好地保護那些承載着我們生活方方面面的設備。
他是如何開始的
約翰遜並非高明的網絡罪犯。他自稱最初是在明尼阿波利斯街頭扒竊起家。“我當時無家可歸,“他説,“後來有了孩子需要錢,又找不到工作,就只能幹這個。”
很快他意識到,如果能破解手機,這些贓物的價值會高得多。約翰遜表示沒人教過他密碼破解技巧,某天深夜他擺弄手機時靈光乍現,發現瞭如何利用密碼解鎖各類受保護服務。
“那個密碼就是魔鬼,“他説,“有時是上帝——但更多時候是魔鬼。”
根據明尼阿波利斯警方的逮捕令顯示,約翰遜及其犯罪團伙其他11名成員累計獲利近30萬美元。而據他本人透露,實際金額可能更高。
“我當時沉迷於一次性搞到大錢,“他承認,“完全失控了。”
今年三月,有搶劫和盜竊前科的約翰遜對敲詐勒索罪認罪,被判94個月監禁。他在法庭上向法官表達了悔意。
他是如何做到的
根據對約翰遜、執法官員及部分受害者的採訪,以下是夜間作案的詳細過程:
**鎖定目標。**燈光昏暗且人潮湧動的酒吧成了他的完美獵場。大學年齡段的男性成為首選目標。“他們通常已經喝醉,根本搞不清狀況,“約翰遜説。相比之下,女性往往更具戒備心,對可疑行為更警覺。
**獲取密碼。**受害者們形容約翰遜"熱情健談”。有人告訴我他會主動提供毒品搭訕,另一些人則説他自稱説唱歌手,要求互加Snapchat好友。短暫交談後,受害者會毫無戒心地遞過手機,以為他只是輸入聯繫方式就會歸還。
“我會説’嘿,你手機鎖屏了,密碼是多少?‘他們就直接報出'2-3-4-5-6’這類數字,“約翰遜描述道。有時他還會偷錄受害者輸入密碼的動作。
一旦手機到手,他要麼立即離開,要麼轉交給同夥。
**快速封殺退路。**得手後幾分鐘內,約翰遜就會進入設置菜單修改Apple ID密碼。接着用新密碼關閉"查找我的iPhone"功能,確保受害者無法通過其他設備遠程定位——甚至抹除被盜手機。
約翰遜稱自己改密碼的速度"比説’超級無敵長單詞’還快”,“必須趕在老鼠發現奶酪前得手。”
**拿走錢。**約翰遜表示,隨後他會將自己的面部錄入Face ID,因為“一旦你的臉被錄入,就等於拿到了開啓一切的鑰匙。”生物識別認證讓他能快速訪問iCloud鑰匙串中保存的密碼。
儲蓄賬户、支票賬户、加密貨幣應用——他試圖轉出大筆資金。如果遇到無法進入這些金融應用的情況,他會在備忘錄和照片應用中尋找社保號碼等額外信息。
到次日清晨,錢款便已轉移。這時他會前往商店用Apple Pay購物,還會利用竊取的蘋果設備購買更多蘋果產品(通常是價值1200美元的iPad Pro機型)以換取現金。
全美各地的竊賊正在利用iOS系統漏洞,僅憑iPhone鎖屏密碼就能修改受害者的Apple ID密碼。圖片來源:Joanna Stern/The Wall Street Journal**銷贓手機。**最後,他會抹除手機數據並將其賣給Zhongshuang “Brandon” Su——根據逮捕令顯示,此人將贓機轉售至境外。
雖然約翰遜也偷過安卓手機,但他主要針對iPhone,因其轉售價值更高。在酒吧裏,他會觀察環境,尋找帶有標誌性三攝系統的iPhone Pro機型。他表示1TB存儲的Pro Max能賣到900美元,Su還收購了他購買的iPad。
蘇某對所收受贓物表示認罪,被判處120天監禁,在明尼蘇達州亨內平縣成人懲教所服刑。蘇某及其律師均未回應置評請求。
約翰遜表示,在行情好的週末,他能向蘇某售出多達30部iPhone和iPad,獲利約2萬美元——這還不包括他從受害者銀行應用、Apple Pay等渠道盜取的金額。
如何防範此類犯罪
在我結束明尼蘇達州之行一週後,蘋果公司宣佈推出"失竊設備保護"功能。這項安全設置很可能使約翰遜的大部分作案手法失效,但該功能不會自動啓用。
若用户不主動啓用,設備仍將處於與以往相同的風險中。開啓後,當手機離開家庭或工作場所等熟悉環境時,會新增一道安全防線。
即將在iOS 17.3中推出的"失竊設備保護"功能,可在手機離開家庭或工作場所等熟悉地點時提供防護。圖片來源:Joanna Stern/華爾街日報竊賊若要更改Apple ID密碼,必須通過Face ID或Touch ID生物識別驗證——即需要機主本人的面部或指紋。僅憑鎖屏密碼將無法完成操作。該流程還內置了一小時延遲機制,之後需再次進行生物識別驗證。添加新Face ID或關閉"查找我的iPhone"功能同樣需經歷此延遲流程。
部分功能(如訪問iCloud鑰匙串中保存的密碼或抹除iPhone數據)雖無需延遲驗證,但仍需通過Face ID或Touch ID認證。
犯罪分子可能仍有動機綁架擁有大量錢財的人,然後逐步突破這些安全防護。不過,這些保護措施很可能會嚇退那些只想搶走手機並逃離現場的小偷。
那麼還有哪些漏洞存在?一個獲得密碼的小偷仍然可以使用Apple Pay進行購物。任何沒有額外密碼或PIN保護的應用程序——比如你的電子郵件、Venmo、PayPal等——也同樣容易受到攻擊。
這就是為什麼你還應該:
- 為金錢類應用添加獨特的密碼,如Venmo和Cash App。
- 刪除任何包含個人信息(如密碼或社會安全號碼)的筆記或照片。將這些信息存儲在第三方密碼管理器(如Dashlane或1Password)的安全筆記中。
- 創建一個更強的iPhone密碼——一個包含字母和數字的密碼。
最明顯的是約翰遜的建議:注意周圍環境,不要泄露你的密碼。
如果這起犯罪事件教會了我們什麼,那就是現在一個單一設備包含了我們整個生活的入口——我們的記憶、我們的錢財等等。保護它們的責任在我們自己身上。
Nicole Nguyen為本文做出了貢獻。
*—**在此訂閲《Joanna Stern的科技事物》*每週通訊。現在一切都是科技事物。專欄作家Joanna Stern是你的嚮導,分析並回答你關於我們永遠連接的世界的問題。
出現在2023年12月21日的印刷版中,標題為《來自iPhone竊賊的安全提示》。