他窃取了数百部iPhone并掠夺了人们的毕生积蓄他向我们讲述了作案手法——《华尔街日报》

明尼苏达州拉什市——在这所明尼苏达州惩教所，警卫允许你穿过带刺铁丝网围栏与钢制大门前，必须将手机存入储物柜。当你前来探访一名专偷iPhone的惯犯时，这倒不算太麻烦。

不过我并不担心亚伦·约翰逊会偷走我的iPhone。我来此是想弄明白他如何行窃。

“我已经在服刑了。现在只想站在事情的另一面，试着帮助人们。“26岁的约翰逊在这所高度设防监狱接受我们采访时说道，未来数年他都将在此度过。

过去一年间，我与同事妮可·阮持续调查全国范围内频发的盗窃案：窃贼窥视iPhone用户输入解锁密码后实施盗窃——进而通过失窃手机颠覆受害者的财务与数字生活。

2021至2022年间，约翰逊及其同伙在明尼阿波利斯市活动至少一年。夜间流连酒吧内外时，他会搭讪年轻人，狡猾地套取手机密码后行窃。利用这串数字，他将受害者永久锁定在苹果 账户之外，并通过银行应用盗取数千美元，最终转卖手机牟利。

这套精密的机会主义作案手法，既利用了苹果生态系统漏洞，也瞄准了那些认为"手机被盗不过是损失硬件"的轻信用户。

上周，苹果公司宣布了失窃设备保护功能，这项功能很可能防范此类利用密码实施的犯罪。

但即便你安装了即将在iOS 17.3中推出的该软件，仍会存在漏洞。最大的漏洞是什么？就是我们自己。通过了解约翰逊的作案手法，我们可以学会如何更好地保护那些承载着我们生活方方面面的设备。

他是如何开始的

约翰逊并非高明的网络罪犯。他自称最初是在明尼阿波利斯街头扒窃起家。“我当时无家可归，“他说，“后来有了孩子需要钱，又找不到工作，就只能干这个。”

很快他意识到，如果能破解手机，这些赃物的价值会高得多。约翰逊表示没人教过他密码破解技巧，某天深夜他摆弄手机时灵光乍现，发现了如何利用密码解锁各类受保护服务。

“那个密码就是魔鬼，“他说，“有时是上帝——但更多时候是魔鬼。”

根据明尼阿波利斯警方的逮捕令显示，约翰逊及其犯罪团伙其他11名成员累计获利近30万美元。而据他本人透露，实际金额可能更高。

“我当时沉迷于一次性搞到大钱，“他承认，“完全失控了。”

今年三月，有抢劫和盗窃前科的约翰逊对敲诈勒索罪认罪，被判94个月监禁。他在法庭上向法官表达了悔意。

他是如何做到的

根据对约翰逊、执法官员及部分受害者的采访，以下是夜间作案的详细过程：

**锁定目标。**灯光昏暗且人潮涌动的酒吧成了他的完美猎场。大学年龄段的男性成为首选目标。“他们通常已经喝醉，根本搞不清状况，“约翰逊说。相比之下，女性往往更具戒备心，对可疑行为更警觉。

**获取密码。**受害者们形容约翰逊"热情健谈”。有人告诉我他会主动提供毒品搭讪，另一些人则说他自称说唱歌手，要求互加Snapchat好友。短暂交谈后，受害者会毫无戒心地递过手机，以为他只是输入联系方式就会归还。

“我会说’嘿，你手机锁屏了，密码是多少？‘他们就直接报出'2-3-4-5-6’这类数字，“约翰逊描述道。有时他还会偷录受害者输入密码的动作。

一旦手机到手，他要么立即离开，要么转交给同伙。

**快速封杀退路。**得手后几分钟内，约翰逊就会进入设置菜单修改Apple ID密码。接着用新密码关闭"查找我的iPhone"功能，确保受害者无法通过其他设备远程定位——甚至抹除被盗手机。

约翰逊称自己改密码的速度"比说’超级无敌长单词’还快”，“必须赶在老鼠发现奶酪前得手。”

**拿走钱。**约翰逊表示，随后他会将自己的面部录入Face ID，因为“一旦你的脸被录入，就等于拿到了开启一切的钥匙。”生物识别认证让他能快速访问iCloud钥匙串中保存的密码。

储蓄账户、支票账户、加密货币应用——他试图转出大笔资金。如果遇到无法进入这些金融应用的情况，他会在备忘录和照片应用中寻找社保号码等额外信息。

到次日清晨，钱款便已转移。这时他会前往商店用Apple Pay购物，还会利用窃取的苹果设备购买更多苹果产品（通常是价值1200美元的iPad Pro机型）以换取现金。

全美各地的窃贼正在利用iOS系统漏洞，仅凭iPhone锁屏密码就能修改受害者的Apple ID密码。图片来源：Joanna Stern/The Wall Street Journal**销赃手机。**最后，他会抹除手机数据并将其卖给Zhongshuang “Brandon” Su——根据逮捕令显示，此人将赃机转售至境外。

虽然约翰逊也偷过安卓手机，但他主要针对iPhone，因其转售价值更高。在酒吧里，他会观察环境，寻找带有标志性三摄系统的iPhone Pro机型。他表示1TB存储的Pro Max能卖到900美元，Su还收购了他购买的iPad。

苏某对所收受赃物表示认罪，被判处120天监禁，在明尼苏达州亨内平县成人惩教所服刑。苏某及其律师均未回应置评请求。

约翰逊表示，在行情好的周末，他能向苏某售出多达30部iPhone和iPad，获利约2万美元——这还不包括他从受害者银行应用、Apple Pay等渠道盗取的金额。

如何防范此类犯罪

在我结束明尼苏达州之行一周后，苹果公司宣布推出"失窃设备保护"功能。这项安全设置很可能使约翰逊的大部分作案手法失效，但该功能不会自动启用。

若用户不主动启用，设备仍将处于与以往相同的风险中。开启后，当手机离开家庭或工作场所等熟悉环境时，会新增一道安全防线。

即将在iOS 17.3中推出的"失窃设备保护"功能，可在手机离开家庭或工作场所等熟悉地点时提供防护。图片来源：Joanna Stern/华尔街日报窃贼若要更改Apple ID密码，必须通过Face ID或Touch ID生物识别验证——即需要机主本人的面部或指纹。仅凭锁屏密码将无法完成操作。该流程还内置了一小时延迟机制，之后需再次进行生物识别验证。添加新Face ID或关闭"查找我的iPhone"功能同样需经历此延迟流程。

部分功能（如访问iCloud钥匙串中保存的密码或抹除iPhone数据）虽无需延迟验证，但仍需通过Face ID或Touch ID认证。

犯罪分子可能仍有动机绑架拥有大量钱财的人，然后逐步突破这些安全防护。不过，这些保护措施很可能会吓退那些只想抢走手机并逃离现场的小偷。

那么还有哪些漏洞存在？一个获得密码的小偷仍然可以使用Apple Pay进行购物。任何没有额外密码或PIN保护的应用程序——比如你的电子邮件、Venmo、PayPal等——也同样容易受到攻击。

这就是为什么你还应该：

• 为金钱类应用添加独特的密码，如Venmo和Cash App。
• 删除任何包含个人信息（如密码或社会安全号码）的笔记或照片。将这些信息存储在第三方密码管理器（如Dashlane或1Password）的安全笔记中。
• 创建一个更强的iPhone密码——一个包含字母和数字的密码。

最明显的是约翰逊的建议：注意周围环境，不要泄露你的密码。

如果这起犯罪事件教会了我们什么，那就是现在一个单一设备包含了我们整个生活的入口——我们的记忆、我们的钱财等等。保护它们的责任在我们自己身上。

Nicole Nguyen为本文做出了贡献。

*—**在此订阅《Joanna Stern的科技事物》*每周通讯。现在一切都是科技事物。专栏作家Joanna Stern是你的向导，分析并回答你关于我们永远连接的世界的问题。

出现在2023年12月21日的印刷版中，标题为《来自iPhone窃贼的安全提示》。