Qué es el bloqueo MDM: cómo saber si un celular o una Mac lo tiene

Compras una MacBook o un iPhone baratos, los borras y, en la configuración, aparece una pantalla: “Remote Management — [nombre de la empresa] can automatically configure your Mac.” (Gestión remota: esa empresa puede configurar tu Mac sola.) No se puede saltar. Ahí empieza a entenderse qué es el bloqueo MDM: en el papel, el equipo todavía es de una empresa o de una escuela.

Los equipos con MDM son cada vez más comunes en el mercado usado, porque las empresas renuevan sus flotas. Algunos se liberan bien; muchos no. Así funciona el MDM, cómo revisarlo en un iPhone, un iPad, una Mac o un Android antes de pagar, y la única forma legítima de quitarlo.

Qué significa MDM

MDM (Mobile Device Management) es el software con el que una organización controla sus celulares, tabletas y computadoras. Un administrador puede mandar apps y ajustes de Wi-Fi, exigir un código, bloquear funciones, ver datos del equipo y bloquearlo o borrarlo a distancia.

Hay dos niveles muy distintos:

• Inscripción por perfil. Alguien instaló un perfil de gestión a mano. Casi siempre se puede quitar en Ajustes, y borrar el equipo lo elimina.
• Inscripción automática. El número de serie está registrado a nombre de la organización en Apple Business Manager o Apple School Manager (Automated Device Enrollment, antes llamado DEP). Cada vez que se borra y se configura de nuevo, los servidores de Apple lo devuelven al MDM de la empresa. Ese es el bloqueo MDM del que habla la gente, y un restablecimiento no lo quita.

En Android el equivalente es la inscripción zero-touch de Android Enterprise y, en Samsung, Knox Mobile Enrollment. Un equipo registrado vuelve a inscribirse en la gestión de la empresa después de un restablecimiento de fábrica.

Señales de que el equipo está administrado

iPhone y iPad

• Durante la configuración: una pantalla de Gestión remota (Remote Management) con el nombre de una organización.
• En un equipo que ya funciona: Ajustes › General › VPN y administración de dispositivos muestra un perfil de gestión o “Mobile Device Management”.
• Una línea arriba de Ajustes, o en la pantalla bloqueada, que dice que el equipo está supervisado o administrado por una organización.

Mac

• Durante la configuración: la pantalla de Gestión remota.
• En macOS: Ajustes del Sistema › General › Gestión de dispositivos (en versiones viejas: Preferencias del Sistema › Perfiles) muestra un perfil MDM.
• Apps de la empresa que no puedes borrar y ajustes que se quedan en gris.

Android

• Durante la configuración: “Este dispositivo pertenece a tu organización”, o un aviso para instalar una app de la empresa.
• En un equipo que ya funciona: un perfil de trabajo, o apps en Ajustes › Seguridad › Apps de administrador del dispositivo (el nombre del menú cambia según la marca), como una política del equipo o una app de gestión Knox que no puedes desactivar.

Cómo revisar el MDM en una Mac con Terminal

Si la Mac llega al escritorio, Terminal te da una respuesta clara en segundos. Abre Aplicaciones › Utilidades › Terminal y corre:

sudo profiles status -type enrollment
sudo profiles show -type enrollment

Escribe la contraseña de la Mac cuando te la pida (no se ve nada mientras escribes). El primer comando muestra dos líneas:

• Enrolled via DEP: Yes: el número de serie está asignado a una organización por inscripción automática. Después de un borrado, espera la pantalla de Gestión remota.
• MDM enrollment: Yes: la Mac está administrada ahora mismo. “Yes (User Approved)” quiere decir que se inscribió con la aprobación del usuario.

El segundo comando le pide a Apple el registro de inscripción. Si el equipo está asignado a una organización, casi siempre vas a ver datos de configuración que pueden incluir el nombre; si no, dice que no encontró configuración o que el equipo no está asignado. Que las dos líneas digan No es lo que quieres en una Mac usada. Hay más comandos en comandos de Terminal de Mac para serie y MDM.

Consultar el estado MDM por IMEI o número de serie

Terminal solo sirve en una Mac que puedas desbloquear, y el iPhone no lo tiene. Para cualquier equipo Apple —incluso uno que todavía no viste— usa una consulta a distancia:

• Consulta de estado MDM activado o desactivado por IMEI, para iPhone y iPad.
• Consulta de estado MDM por IMEI o número de serie, para todos los equipos Apple, Mac incluida.
• Combínala con una consulta de Find My en MacBook: una Mac de empresa también puede tener bloqueo de iCloud.

Si quieres el historial, un informe GSX completo de Apple puede mostrar datos de venta y de activación. Más opciones están en la página para consultar MDM.

Cómo se quita el MDM de forma legítima

Solo la organización dueña del equipo puede liberarlo. Una liberación bien hecha se ve así:

1. El administrador de TI saca el equipo de su servidor MDM.
2. Lo libera de Apple Business Manager o de Apple School Manager (o lo quita de zero-touch de Android o de Knox Mobile Enrollment).
3. Se borra el equipo. En la siguiente configuración, la pantalla de Gestión remota ya no aparece.

En Android es lo mismo: la organización lo quita de su portal de zero-touch o de Knox Mobile Enrollment y de su consola, y después lo restablece. Hasta que eso pase, el celular se vuelve a inscribir en cada configuración, por muchas veces que lo borres.

Qué pedirle al vendedor

Pide por adelantado el número de serie, el nombre de la organización de la que salió el equipo y un escrito o una factura que muestre que se liberó y se vendió en regla. Quienes reacondicionan lotes de equipo corporativo hacen esto todos los días. Un vendedor que no puede responder esas preguntas, casi seguro, no lo hizo.

Si lo compraste a una empresa, a una escuela o a un revendedor de TI, escríbeles con el número de serie y pide la liberación. Los reacondicionadores serios lo hacen antes de revender, y deberían confirmarlo por escrito. Si lo compraste a un particular, pregunta de dónde salió: un exempleado que “se quedó con la computadora del trabajo” puede no ser el dueño.

Comprar un equipo usado que podría estar administrado

• Pide el número de serie o el IMEI y haz una consulta de MDM antes de la cita.
• Ten más cuidado con modelos de empresa vendidos por lote, laptops que salieron de un arrendamiento y cualquier cosa con etiqueta de inventario.
• En una Mac, corre los dos comandos de Terminal de arriba. En un iPhone, revisa VPN y administración de dispositivos.
• Borra el equipo junto con el vendedor y recorre la configuración. Si aparece Gestión remota, no compres.
• Confirma también que Buscar (Find My) esté apagado —mira qué es el Bloqueo de Activación— y usa la lista para revisar una MacBook usada.

Consulta el MDM ahora: