Come impedire l'accesso ai contatti e alle foto su un iPhone iOS 9 bloccato

Che cosa succede e perché è un rischio

Un ricercatore ha dimostrato che, su iPhone con iOS 9, è possibile visualizzare l’elenco dei contatti e le foto salvate pur avendo il dispositivo bloccato con codice o Touch ID. L’attacco non sblocca il dispositivo completo e non permette di leggere messaggi o riprodurre video, ma consente di navigare nelle foto e nei contatti tramite un’interfaccia limitata. Le immagini visualizzate non possono essere condivise direttamente dall’interfaccia dell’exploit, ma l’esposizione visiva dei dati personali è comunque una violazione di privacy.

Importante: questa procedura sfrutta l’accesso a Siri e alcune funzioni dell’app Orologio e dei fogli di condivisione. Se Siri è disabilitato dalla schermata di blocco, la procedura non funziona.

Come funziona la falla (passaggi ricostruiti)

1. Inserisci quattro codici errati consecutivi (il quinto tentativo di codice errato blocca temporaneamente l’iPhone).
2. Nel quinto tentativo inserisci tre cifre sbagliate, poi tieni premuto il tasto Home per richiamare Siri e immediatamente digita la quarta cifra.
3. L’iPhone si bloccherà temporaneamente per circa un minuto, ma Siri verrà comunque attivata.
4. Chiedi a Siri che ore sono.
5. Tocca l’icona Orologio per aprire l’app Orologio.
6. Tocca l’icona + in alto a destra per aggiungere una sveglia.
7. Nella casella “Scegli una città” scrivi qualcosa che non corrisponda a una città valida.
8. Tocca il campo per richiamare il menu copia/incolla e scegli “Seleziona tutto” quindi “Condividi…”.
9. Dal foglio di condivisione, seleziona l’app Messaggi.
10. Nel campo “A:” digita qualcosa di errato e premi Invio.
11. Tocca due volte il nome di contatto errato nel campo “A:” per aprire la pagina Info.
12. Seleziona “Crea nuovo contatto”.
13. Tocca “Aggiungi foto”.
14. Tocca “Scegli foto”.
15. Ora verranno mostrate tutte le foto e gli album disponibili sul dispositivo bloccato: puoi sfogliarle e visualizzarle una per una.

Se al punto 12 scegli “Aggiungi a contatto esistente” invece di “Crea nuovo contatto”, puoi visualizzare i dettagli dei contatti esistenti.

Nota: il video dimostrativo originale mostra la procedura completa in circa un minuto.

Mitigazione immediata: cosa fare adesso

• Disabilita l’accesso a Siri dalla schermata di blocco:

  • Vai in Impostazioni → Touch ID e codice (o Codice), inserisci il tuo codice e disattiva Siri nella sezione “Consenti accesso quando bloccato”.

• Considera di aggiornare iOS non appena Apple rilascierà una patch.

• Evita di lasciare il tuo dispositivo incustodito fino a quando non hai applicato la mitigazione.

Alternative e misure aggiuntive

• Disattiva Siri completamente se non la usi: Impostazioni → Siri e Cerca → disattiva Siri.
• Imposta una policy aziendale che richieda aggiornamenti tempestivi del sistema operativo.
• Usa il blocco remoto (Trova il mio iPhone) nelle organizzazioni per revocare l’accesso a dispositivi smarriti.

Quando questa falla non funziona (controesempi)

• Se Siri è disabilitato dalla schermata di blocco, la procedura fallisce.
• Se il dispositivo è aggiornato con una patch rilasciata da Apple che corregge questa specifica interazione, la procedura non è più applicabile.
• Dispositivi con impostazioni di accesso più restrittive (ad esempio profili MDM aziendali che limitano Siri) non sono vulnerabili.

Matrice rischio — impatto × probabilità

• Impatto: Medio — esposizione visiva di foto e contatti, possibile uso improprio delle informazioni.
• Probabilità: Bassa/Media — richiede accesso fisico al dispositivo e conoscenza della procedura.
• Raccomandazione: mitigazione rapida disabilitando Siri su schermo bloccato e aggiornando iOS.

Checklist rapida per utenti e amministratori

Per gli utenti:

• Disabilitare Siri dalla schermata di blocco.
• Aggiornare iOS non appena disponibile la patch.
• Non lasciare il dispositivo incustodito.

Per gli amministratori IT:

• Applicare profili di sicurezza che disabilitano Siri in lockscreen.
• Forzare aggiornamenti iOS sui dispositivi gestiti.
• Informare gli utenti sui rischi e sulle azioni immediate.

Best practice e buone abitudini

• Usa codici di blocco robusti e, se possibile, la verifica a più fattori per gli account sensibili.
• Limita le informazioni visibili nelle anteprime delle notifiche sulla schermata di blocco.
• Monitora le comunicazioni ufficiali Apple per patch di sicurezza.

Rischi legali e privacy

L’accesso visivo non autorizzato a contatti e foto può costituire una violazione della privacy. In contesti aziendali, la esposizione di dati sensibili può avere implicazioni legali e disciplinari. Applicare politiche di protezione dei dati e aggiornare i dispositivi è fondamentale per la conformità.

Domande frequenti

Domanda: questa procedura sblocca il mio iPhone? Risposta: No. Non fornisce l’accesso completo al dispositivo. Consente solo di visualizzare contatti e foto tramite un’interfaccia limitata.

Domanda: Posso condividere o inviare le foto trovate con questa tecnica? Risposta: Dalla dimostrazione originale, le foto possono essere visualizzate ma non condivise direttamente dall’interfaccia dell’exploit. Tuttavia, la semplice visualizzazione può essere già una violazione della privacy.

Domanda: Come faccio a sapere se il mio iPhone è vulnerabile? Risposta: Se usi iOS 9 e l’accesso a Siri è consentito dalla schermata di blocco, il dispositivo è potenzialmente vulnerabile. La soluzione immediata è disabilitare Siri quando il dispositivo è bloccato.

Sintesi e raccomandazioni finali

• La procedura dimostra una vulnerabilità di privacy in iOS 9: Siri e alcune interazioni dell’app Orologio possono esporre contatti e foto su dispositivi bloccati.
• Azione immediata: disabilita Siri dalla schermata di blocco e aggiorna iOS quando arriva la patch.
• Per le organizzazioni: implementare policy che limitino l’uso di Siri sui dispositivi aziendali e forzino aggiornamenti.

Nota: i sistemi operativi sono complessi e le vulnerabilità esistono. Aggiornamenti regolari e configurazioni adeguate riducono il rischio.

Fonte: idownloadblog (ricerca e dimostrazione pubblica della procedura)