趁这标题讲一下这次的问题
根据
http://www.engadget.com/2014/09/01/find-my-iphone-exploit/
跟有人流出来的 POC sample
https://github.com/hackappcom/ibrute
加上这个 POC 流出时间点跟照片流出时间点相当接近（隔天），
而且苹果的确紧急修复了这个漏洞，我觉得是蛮有嫌疑的。
目前这个可能的猜测之一（强调），
是 findmyiphone 有个 initClient 的 request ，
https://fmipmobile.icloud.com/fmipservice/device/<apple_id>/initClient
因为有吃帐号密码可以用来取得装置资料，
所以就能用来测视帐号密码。
照理说一般的帐号密码因为怕被踹，所以三次或一定次数以上就会锁帐号，
但这个 request 没有作锁帐号来防踹帐号的测试。
所以就造成 cracker (黑客) 可以自由的测试帐号密码，
这个一般会用俗称字典档的常见密码集跟基本密码组合来测试。
至于帐号怎么取得就是各凭本事了。
当然，除了这个说法以外也有人说可能有其他弱点、之前就流出，
只是借这个弱点一起流出而已，无论如何这是目前国外的讨论方向之一。
在这个弱点的前提底下，加强密码的强度是很重要的，
英文、数字、符号混杂，英文夹杂大小写，密码尽量不要太傻瓜，
不要多网站共用同一组密码（怕万一一个网站是恶意或被破就整组掰光），
都是保护自己帐号的基本常识。