iOS 5: ondanks codeslot toch bellen

De pincode die je op de iPhone kunt instellen, is nooit 100% veilig geweest. Regelmatig werden er manieren gevonden om toch te kunnen bellen, ook al was er een codeslot ingesteld. Bij iOS 5 blijkt er opnieuw sprake van een lek, waardoor kwaadwillenden je op kosten kunnen jagen. Het codeslot is bedoeld om te voorkomen dat anderen toegang tot je telefoon krijgen, rondbladeren door persoonlijke gegevens en (prijzige) telefoongesprekken naar het buitenland kunnen voeren. Toch blijkt het mogelijk om met de telefoon te bellen, ook als je de 4-cijferige pincode niet kent. Het wordt mogelijk gemaakt door de nieuwe notificatiedienst, die op het lockscreen laat zien dat je een telefoontje hebt gemist. Via Slide-To-Call heb je meteen de mogelijkheid om terug te bellen. Je kunt het zelf testen.

1. Ga naar Instellingen en stel een codeslot in, op de gebruikelijke wijze met een 4-cijferige pincode.
2. Zet de iPhone in slaapstand.
3. Bel vanaf een ander nummer jouw iPhone en hangt na een paar keer rinkelen op.
4. Op de iPhone verschijnt de melding van een gemist gesprek. Je kunt nu meteen terugbellen.

Dat laatste is handig voor de rechtmatige gebruiker, maar komt je iPhone in handen van een dief met vrienden/familie in het buitenland, dan kan kan de dief op jouw kosten bellen. Hij kan iemand vanuit het buitenland de telefoon even laten rinkelen en daarna op jouw kosten terugbellen naar het buitenland. Voorwaarde is wel, dat de dief jouw 06-nummer weet, maar dat is door social engineering bij de meeste mensen niet eens zo moeilijk te achterhalen. De telefoonkosten zijn voor rekening van de iPhone-bezitter, die zo onhandig was om zijn telefoon ergens te laten slingeren. Vreemd is dat bij meteen terugbellen geen pincode wordt gevraagd. De truc werkt niet bij andere functies, zoals een binnenkomend sms-bericht. Ook is het tegenwoordig mogelijk om meteen vanaf het lockscreen foto’s en video’s te maken, maar daar heeft Apple de toegang tot de telefoonfunctie bewust geblokkeerd.

Door het beveiligingslek kun je ook als gewone gebruiker om de tuin geleid worden: er komt een telefoontje van een onbekend (Nederlands) nummer binnen en je besluit terug te bellen. In werkelijkheid heeft iemand het nummer gespoofd en bel je naar een dure premium-beldienst. Overigens kun je niet vanuit de iPhone in het wilde weg allerlei nummers gaan bellen, zonder de pincode te weten. Het bellen zonder pincode werkt alleen via de terugbel-truc.