Les Vidéo WSJ indique que tout ce qui est nécessaire pour accéder au trousseau de mots de passe et me bloquer est que le mauvais acteur.. :
- "shoulder surf" pour obtenir le mot de passe
- obtenir un accès physique à l'iPhone (le voler)
- changer immédiatement le mot de passe de l'AppleID avec le mot de passe de l'étape 1
Des acteurs malveillants suivent le script ci-dessus pour prendre le contrôle de l'AppleID, y compris le trousseau de mots de passe, à des fins de vol financier. La vidéo indique que le code à 6 chiffres est tout ce qui est nécessaire pour permettre la modification du mot de passe de l'AppleID.
Je pense qu'une méthode plus sûre serait d'exiger que le mot de passe de l'AppleID soit modifié à l'aide de 2FA qui nécessite un deuxième appareil Apple, comme une Apple Watch, et non pas la récupération du mot de passe par e-mail.
Si l'objectif est d'empêcher le mauvais acteur d'exclure le propriétaire légitime de l'AppleID :
-
Existe-t-il un mécanisme obligeant l'utilisateur (c'est-à-dire le mauvais acteur) à saisir autre chose que le mot de passe à 6 chiffres (peut-être le mot de passe actuel de l'AppleID) pour modifier le mot de passe de l'AppleID ?
-
Comment demander le mot de passe AppleID pour changer le mot de passe AppleID sur l'iPhone ?
Bonus : Comment invoquer 2FA (comme lorsque vous ajoutez votre AppleID à un nouveau compte Macintosh) pour changer le mot de passe AppleID ?
