iPhone 5s in staat spontaan in een MDM service

[rb0wag]

Mijn vraag
...
De iPhone 5s van mij zoon staat sinds afgelopen vrijdag spontaan in het MDM systeem van een instelling ('s heerenloo zorggroep).
De telefoon is meer als een jaar zonder problemen gebruikt en heeft hij tweedehands overgenomen, maar nooit iets gemerkt met opnieuw instellen tot afgelopen vrijdag toen zijn telefoon ineens vanaf afstand werd gewist.
Hij of ik hebben nooit wat met die instelling te maken gehad.
Hoe kan dit?
Ik weet niet precies hoe zo'n MDM systeem werkt maar ik zou me voor kunnen stellen dat vorige eigenaar daar gewerkt heeft en hun een oude backup hebben teruggezet met de gegevens van deze telefoon.
Ik loop nu dus tegen de melding aan " Stichting 's Heeren Loo gaat je iPhone automatisch configureren" en maar gaat dan niet verder (logisch aangezien wij de login en ww niet hebben).
Hij staat gewoon in zijn eigen iCloud maar voor activatie van de telefoon word daar niet om gevraagt, kan in de ICloud verder niks vinden wat te maken heeft met deze zorggroep.
Ik heb ze al een whatsapp bericht gestuurd met de vraag wat hun telefoonnummer van de ict afdeling is (app nummer via google en hun website)

Concrete vraag is dus eigenlijk hoe is dit mogelijk zonder dat wij hen kennen en hun ook geen fysieke toegang tot de telefoon hebben of hebben gehad.

Relevante software en hardware die ik gebruik
...
Herstel vai telefoon zelf door hem zelf en later door mij nog eens gereset door itunes.

Wat ik al gevonden of geprobeerd heb
...
Heb het bedrijf als gewhatsappt en hoop op vlotte reactie van hun.

[Wish]

Een MDM systeem (zoals Mobile Iron, Airwatch etcetera) geven een dergelijke telefoon altijd een "agent" mee bij mijn weten... ergens op die telefoon staat een appje dat nog verbonden is met het MDM systeem, en is de zorginstelling nog heeren (pun intended) meester over de telefoon.

Maar goed, de ICT afdeling bellen van hen is de beste en snelste manier om dit eruit te gooien. Met een beetje pech is het wel een toestel van hen...

[ Voor 21% gewijzigd door Wish op 09-07-2017 23:17 ]

[.Maarten]

Kun je hem niet restoren via DFU?

[Detmer]

Naar mijn weten kun je niets anders doen dan het bedrijf een bericht doen zodat zij de telefoon uit het systeem kunnen halen. Zelf kan dat (uiteraard) niet i.v.m. beveiliging bij diefstal e.d.

[rb0wag]

Maar wanneer wordt dat appje erop gezet dan?
Wij hebben die telefoon al best wel vaak helemaal opnieuw gereset en software geupdate via itunes in het verleden en toen nooit geen problemen. Ook geen vreemde app gezien of is het een "hidden" app?

[jeroen3]

Of het toestel is gestolen. Of de vorige eigenaar zat bij die woongroep.

Een iPhone kan worden gekoppeld aan een beheersysteem (mobile device manegement) zodat bedrijven en instellingen de toestellen kunnen beheren. Instellingen forceren, en wissen op afstand.

[ Voor 57% gewijzigd door jeroen3 op 09-07-2017 23:21 ]

[johnkeates]

Er zit een 'agent' of 'hidden' app op, dat bestaat op iOS niet, of in elk geval niet in die vorm. Wat er wel op zit is standaard MDM en Enterprise Enrollment, maar die zijn allebei weg zodra het toestel unlocked en gewist is. Zet Find My iPhone uit en weer aan, daarna moet er in principe geen verbinding meer mogelijk zijn met de MDM van die instelling, tenzij hij qua hardware en software in een VPP zit en nog eerst verwijderd moet worden uit dat programma (wat ergens bij deploy.apple.com geregeld wordt als ik het goed heb).

[ Voor 19% gewijzigd door johnkeates op 09-07-2017 23:23 ]

[rb0wag]

Wish schreef op zondag 9 juli 2017 @ 23:13:

Maar goed, de ICT afdeling bellen van hen is de beste en snelste manier om dit eruit te gooien. Met een beetje pech is het wel een toestel van hen...

Dat ga ik morgen ook doen.

.Maarten schreef op zondag 9 juli 2017 @ 23:16:
Kun je hem niet restoren via DFU?

Al geprobeert en nee dat gaat niet dus.

Detmer schreef op zondag 9 juli 2017 @ 23:16:
Naar mijn weten kun je niets anders doen dan het bedrijf een bericht doen zodat zij de telefoon uit het systeem kunnen halen. Zelf kan dat (uiteraard) niet i.v.m. beveiliging bij diefstal e.d.

Dat snap ik maar waarom dan pas na meer als een jaar dan weer in het systeem zetten, zou denken dat hij al uit het systeem was aangezien we er nooit eerder iets van gezien hebben. Ik doe zelf reparaties aan iPhones en iPads dus ik weet dat ik zelf niks aan die lock kan veranderen ( of moet ff chips wisselen )

jeroen3 schreef op zondag 9 juli 2017 @ 23:19:
Of het toestel is gestolen. Of de vorige eigenaar zat bij die woongroep.

Ja had ik al aan gedacht en heb adresgegevens van vorige eigenaar denk ik nog wel ergens (hoop ik).

johnkeates schreef op zondag 9 juli 2017 @ 23:22:
Er zit een 'agent' of 'hidden' app op, dat bestaat op iOS niet, of in elk geval niet in die vorm. Wat er wel op zit is standaard MDM en Enterprise Enrollment, maar die zijn allebei weg zodra het toestel unlocked en gewist is. Zet Find My iPhone uit en weer aan, daarna moet er in principe geen verbinding meer mogelijk zijn met de MDM van die instelling.

Dat ga ik zo eens even proberen, want dat heb ik nog niet geprobeert.

[rb0wag]

johnkeates schreef op zondag 9 juli 2017 @ 23:22:
Er zit een 'agent' of 'hidden' app op, dat bestaat op iOS niet, of in elk geval niet in die vorm. Wat er wel op zit is standaard MDM en Enterprise Enrollment, maar die zijn allebei weg zodra het toestel unlocked en gewist is. Zet Find My iPhone uit en weer aan, daarna moet er in principe geen verbinding meer mogelijk zijn met de MDM van die instelling, tenzij hij qua hardware en software in een VPP zit en nog eerst verwijderd moet worden uit dat programma (wat ergens bij deploy.apple.com geregeld wordt als ik het goed heb).

Ik heb FMI uitgezet maar heeft niets geholpen, zelfde melding blijft komen.
Maar als hij kwa hardware/software in een VPP zit waarom komt het dan ineens na meer als een jaar (heb even snel gezocht en telefoon is overgenomen in Januari 2016, anderhalf jaar geleden ondertussen en nooit dit probleem gehad) kan zoiets op elk moment aangezet worden dan ondanks een ander apple-id en wachtwoord?

[jeroen3]

Het Apple ID van de eindgebruiker staat hier inderdaad los van.

[NeoAtomic]

Waarschijnlijk is het serienummer opgenomen in het deployment programma van Apple. Deze is gekoppeld aan een MDM server. Bij het opnieuw instellen van de iPhone wordt er contact opgenomen met de server van Apple en als het serienummer bekent is en gekoppeld is aan een MDM server krijg je het enrollment profiel. Het toevoegen van het serienummer aan de deployment server van Apple kan alleen als het bedrijf deze zelf via een officiele reseller heeft aangekocht. Ik acht de kans groot dat deze dus door de zorggroep is aangekocht.

Beste is om de ICT afdeling te contacteren en te vragen of zij het serienummer uit deployment.apple.com en uit hun MDM kunnen verwijderen. Daarna na een restart kun je de iPhone installeren.

[Yucon]

NeoAtomic schreef op maandag 10 juli 2017 @ 08:05:
Waarschijnlijk is het serienummer opgenomen in het deployment programma van Apple. Deze is gekoppeld aan een MDM server. Bij het opnieuw instellen van de iPhone wordt er contact opgenomen met de server van Apple en als het serienummer bekent is en gekoppeld is aan een MDM server krijg je het enrollment profiel. Het toevoegen van het serienummer aan de deployment server van Apple kan alleen als het bedrijf deze zelf via een officiele reseller heeft aangekocht. Ik acht de kans groot dat deze dus door de zorggroep is aangekocht.

Beste is om de ICT afdeling te contacteren en te vragen of zij het serienummer uit deployment.apple.com en uit hun MDM kunnen verwijderen. Daarna na een restart kun je de iPhone installeren.

Ik kan het me haast niet voorstellen, maar betekent dit nu ook dat een typfoutje een totaal willekeurige telefoon kan overnemen?

[MAX3400]

Yucon schreef op maandag 10 juli 2017 @ 08:20:
[...]

Ik kan het me haast niet voorstellen, maar betekent dit nu ook dat een typfoutje een totaal willekeurige telefoon kan overnemen?

Ja maar dit soort dingen moet je ook niet handmatig invoeren.

Over het algemeen wordt een batch toestellen, zeker bij grootverbruikers, al door de supplier zoals een Vodafone of een KPN kant & klaar in een "federated omgeving" opgenomen en kan een MDM-agent geinstalleerd worden. Hiermee worden allerlei zorgen voor een klant, zoals defecten, diefstal etc. niet op de ICT-afdeling belegd maar (gedeeltelijk) bij de telco.

Daarnaast zou ik het uitermate stom vinden als door een typefout een device in MDM terecht komt; al zou een ICT-afdeling van 1 "beheerder" het handmatig doen, het device ligt op dat moment vaak toch op het bureau en test/probeer je meteen of zaken ingesteld kunnen worden en zichtbaar worden op device en de MDM-tooling.

[NeoAtomic]

Yucon schreef op maandag 10 juli 2017 @ 08:20:
[...]

Ik kan het me haast niet voorstellen, maar betekent dit nu ook dat een typfoutje een totaal willekeurige telefoon kan overnemen?

Nee, want je moet daadwerkelijk wel zelf het profiel installeren.

Zoals ik al aangaf moet het device worden aangeschaft bij een reseller, deze plaatst het device in DEP en koppelt deze dan aan het DEP account van jou bedrijf. voor wat meer informatie: https://www.apple.com/nl/business/programs/

[rb0wag]

Het probleem wordt netjes opgelost door de ict afdeling van het betreffende bedrijf.
Heb vanmiddag kontakt met hun gehad en blijkt dus inderdaat dat deze telefoon door een oud medewerker van het bedrijf is doorverkocht aan mijn zoon zonder dat het bedrijf hier van op de hoogte was.

Het geval wil volgens hun ict afdeling dat ze nu pas echt gebruik gaan maken van de Mobile Device Mangment en daardoor de telefoon daar in is terrecht gekomen.

Hoe hun het gaan regelen met de vorige werknemer weet ik niet maar mijn zoon kan deze week als het goed is zijn telefoon weer gebruiken. Ik wordt gebeld als hij uit het systeem is.

Allemaal bedankt voor het meedenken 👍