Когда Apple внедряла MDM (Mobile Device Management) — это казалось удобным инструментом для больших корпораций. Айтишники разворачивают VPN, накидывают сертификаты, удаляют данные уволенного сотрудника — и всё это без лишних телодвижений. Прямо из офиса. Всё по правилам. Всё штатно.

Вот только ровно те же правила теперь используют не только айтишники. А ещё — обиженные партнёры, детективы, да и просто те, кого не зовут по имени. Нужно всего лишь одно: чтобы у них был доступ к вашему разблокированному iPhone хотя бы на пару минут. И чтобы вы — случайно, невнимательно и доверчиво нажали «Установить». Всё. Профиль внутри.

Важно понимать: установить MDM вслепую нельзя. Только если устройство разблокировано, и только если нажата кнопка на экране. Но люди нажимают, особенно когда им показывают системное обновление, настройку приложения от банка или доступ к корпоративной почте.

Сценарий почти всегда одинаков. Открывается Safari. Подсовывается поддельный сайт. Файл .mobileconfig ждёт, как подарок под ёлкой. Система предупреждает: «Этот профиль может управлять устройством». И вот он, главный момент. Палец касается «Установить» — и айфон уже не совсем ваш.

Дальше всё зависит от фантазии «админа». Он может гнать весь трафик через свой прокси, поставить свой VPN, внедрить MITM-сертификат и начать слушать, что идёт по HTTPS. Может отключить Face ID, запретить установку приложений, сделать скриншот экрана или стереть всё до заводских. Иногда ставится родительский контроль с бэкдором — FlexiSpy, mSpy, кто во что горазд. С точки зрения системы — вы сами подписались. Добровольно. Осознанно. Apple считает, что два «ОК» — это согласие.

В iOS 17.2 появился маленький сигнал — строка «Это устройство управляется организацией». Но находится он в тихом углу экрана блокировки. Прячется рядом с погодой. И почти никто его не замечает.

Раньше, до iOS 18.3, в настройках был отдельный переключатель — «Требовать код при установке профилей». Можно было включить — и быть спокойным. Но с выходом iOS 18.4 Apple решила: хватит играть в тумблеры. Теперь защита вшита прямо в систему. Автоматическое. И это, пожалуй, редкий случай, когда Apple сделала что-то по-настоящему полезное для безопасности, не спрашивая разрешения.

Да, и забудьте про 4 цифры. Шестизначный код — минимум. Не оставляйте телефон без присмотра. И никогда, никогда не устанавливайте профили «по просьбе службы поддержки».

Хотите проверить, всё ли у вас чисто? Идёте в Настройки → Основные → VPN и управление устройством. Если такой раздел вообще не отображается — хорошо. Если есть — смотрим, что внутри. Любой подозрительный профиль вроде DeviceSetup, MdmRemote, Enterprise Mobile — тревожный сигнал.

Удалить можно вручную. Нажать на профиль, выбрать «Удалить управление», ввести код-пароль. Но этого недостаточно. Заходите в Настройки → Основные → Об этом устройстве → Настройки доверия сертификатов. Проверяете всё, что там включено. Если видите странные имена — отключаете. Иногда злоумышленники ставят корневой сертификат отдельно — и читают всё, что вы делаете в Safari, как открытую книжку.

Закончили? Перезагружаетесь. Обновляете iOS. Меняете Apple ID-пароль. Включаете везде двухфакторку. Проверяете банковские приложения. Лучше перебдеть.

И нет, это не теория. GoldPickaxe в 2023-м ставил MDM-профиль во Вьетнаме и крал коды подтверждения из SMS. LightSpy в 2024 — делал то же самое под видом обновления. В 2022 году в России отмечались атаки с использованием поддельных VPN-профилей под видом «корпоративного доступа» пользователям предлагали установить конфигурационный профиль. После установки злоумышленники могли перенаправлять трафик, отслеживать действия в Safari и даже использовать встроенные средства удалённого наблюдения. Но ключевое — люди сами нажимали «Установить».

MDM — не баг. Это дверь. И она по умолчанию открыта тем, кому вы позволите. Не усложняйте им задачу. Если вы не админ своего iPhone — им станет кто-то другой.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS