O que é o bloqueio MDM? Como saber se um celular ou Mac é gerenciado

Você compra um MacBook ou iPhone barato, apaga o aparelho e, durante a configuração, aparece uma tela: “Gerenciamento Remoto — [Nome da empresa] pode configurar automaticamente o seu Mac.” Não dá para pular. Isso é um bloqueio MDM, e significa que o aparelho ainda pertence, no papel, a uma empresa ou escola.

Aparelhos com MDM são uma parcela cada vez maior do mercado de usados, à medida que as empresas renovam a sua frota. Alguns são liberados corretamente; muitos não. Veja como o MDM funciona, como verificar qualquer iPhone, iPad, Mac ou Android antes de comprar e a única forma legítima de removê-lo.

O que significa MDM

MDM (Mobile Device Management, ou gerenciamento de dispositivos móveis) é um software que as organizações usam para controlar seus celulares, tablets e computadores. Um administrador pode instalar apps e configurações de Wi-Fi, exigir códigos de acesso, bloquear recursos, ver detalhes do aparelho e bloqueá-lo ou apagá-lo remotamente.

Existem dois níveis bem diferentes:

• Inscrição por perfil — alguém instalou um perfil de gerenciamento manualmente. Normalmente ele pode ser removido nos Ajustes, e apagar o aparelho o remove.
• Inscrição automatizada — o número de série do aparelho está registrado em nome da organização no Apple Business Manager ou no Apple School Manager (Automated Device Enrollment, antigamente chamado de DEP). Toda vez que ele é apagado e configurado de novo, os servidores da Apple o mandam de volta para o MDM da empresa. Esse é o “bloqueio MDM” de que as pessoas falam, e restaurar o aparelho não o remove.

O Android tem um equivalente: o registro zero-touch do Android Enterprise e, na Samsung, o Knox Mobile Enrollment. Um aparelho registrado volta a se inscrever no gerenciamento da empresa depois de uma restauração de fábrica.

Sinais de que um aparelho é gerenciado

iPhone e iPad

• Durante a configuração: uma tela de Gerenciamento Remoto com o nome de uma organização.
• Em um aparelho funcionando: Ajustes › Geral › VPN e Gerenciamento de Dispositivos mostra um perfil de gerenciamento ou “Mobile Device Management”.
• Uma linha no topo dos Ajustes ou na tela bloqueada dizendo que o aparelho é supervisionado ou gerenciado por uma organização.

Mac

• Durante a configuração: a tela de Gerenciamento Remoto.
• No macOS: Ajustes do Sistema › Geral › Gerenciamento de Dispositivos (em versões mais antigas: Preferências do Sistema › Perfis) mostra um perfil MDM.
• Apps da empresa que você não consegue apagar e configurações acinzentadas.

Android

• Durante a configuração: “Este dispositivo pertence à sua organização” ou um pedido para instalar um app da empresa.
• Em um aparelho funcionando: um perfil de trabalho, ou apps listados em Configurações › Segurança › Apps de administração do dispositivo (o nome do menu varia conforme a marca), como um app de política do dispositivo ou de gerenciamento Knox que você não consegue desativar.

Como verificar o status de MDM em um Mac pelo Terminal

Em um Mac que inicia até a mesa (desktop), o Terminal dá uma resposta definitiva em segundos. Abra Aplicativos › Utilitários › Terminal e execute:

sudo profiles status -type enrollment
sudo profiles show -type enrollment

Digite a senha de login do Mac quando for solicitada (nada aparece enquanto você digita). O primeiro comando mostra duas linhas:

• Enrolled via DEP: Yes — o número de série está atribuído a uma organização pelo Automated Device Enrollment. Espere ver a tela de Gerenciamento Remoto depois de apagar o Mac.
• MDM enrollment: Yes — o Mac está sendo gerenciado neste momento. “Yes (User Approved)” significa que ele foi inscrito com a aprovação do usuário.

O segundo comando pede à Apple o registro de inscrição do aparelho. Se ele estiver atribuído a uma organização, normalmente você verá detalhes de configuração que podem incluir o nome da organização; se não estiver, o comando informa que nenhuma configuração foi encontrada ou que o aparelho não está atribuído. As duas linhas dizendo No é o que você quer ver em um Mac usado. Há mais comandos no nosso guia de comandos do Terminal do Mac para número de série e MDM.

Consulte o status de MDM pelo IMEI ou número de série

O Terminal só funciona em um Mac que você consegue desbloquear, e o iPhone nem tem Terminal. Para qualquer aparelho Apple — inclusive um que você ainda nem viu — use uma consulta remota:

• Consulta de status de MDM ativado/desativado pelo IMEI para iPhones e iPads.
• Consulta de status de MDM por IMEI ou número de série para todos os aparelhos Apple, incluindo Macs.
• Combine com uma consulta Find My (FMI) para MacBook — um Mac corporativo também pode estar com bloqueio do iCloud.

Para um histórico mais completo, um relatório GSX completo da Apple pode mostrar detalhes de venda e ativação. Veja nossa página de consulta de MDM para mais opções.

Como o MDM é removido de forma legítima

Só a organização dona do aparelho pode liberá-lo. Uma liberação correta funciona assim:

1. O administrador de TI da organização remove o aparelho do servidor MDM.
2. Ele libera o aparelho do Apple Business Manager / Apple School Manager (ou o remove do zero-touch do Android ou do Knox Mobile Enrollment).
3. O aparelho é apagado. Na próxima configuração, a tela de Gerenciamento Remoto não aparece mais.

No Android, o equivalente é a organização remover o aparelho do portal zero-touch ou do Knox Mobile Enrollment e do console de gerenciamento, e depois restaurá-lo. Até que isso aconteça, o celular volta a se inscrever em toda configuração, não importa quantas vezes seja restaurado.

O que pedir ao vendedor

Peça com antecedência o número de série, o nome da organização de onde o aparelho veio e uma declaração por escrito ou nota fiscal mostrando que ele foi liberado e vendido de forma legítima. Empresas de recondicionamento que compram estoque corporativo em lote lidam com isso todos os dias; um vendedor que não sabe responder a essas perguntas provavelmente não fez a liberação.

Se você comprou de uma empresa, escola ou revendedor de TI, entre em contato com eles informando o número de série e peça a liberação. Recondicionadores sérios fazem isso antes da revenda — e devem confirmar por escrito. Se você comprou de um particular, pergunte de onde veio o aparelho; um ex-funcionário que “ficou com o notebook do trabalho” pode nem ser o dono dele.

Comprando um aparelho usado que pode ser gerenciado: checklist

• Peça o número de série ou o IMEI e faça uma consulta de MDM antes do encontro.
• Tenha cuidado redobrado com modelos corporativos vendidos em lote, notebooks que eram de leasing e qualquer aparelho com etiqueta de patrimônio.
• Em um Mac, execute os dois comandos do Terminal acima. Em um iPhone, confira VPN e Gerenciamento de Dispositivos.
• Apague o aparelho junto com o vendedor e passe pela configuração. Se aparecer Gerenciamento Remoto, não compre.
• Confirme também que o Find My está desativado — veja o Bloqueio de Ativação explicado — e use nosso checklist de MacBook usado.

Faça uma consulta de MDM agora: