Остается открытыми пара вопросов: те, кто блокируют удаленно телефоны и не требуют ничего взамен за разблокировку, они вот какую цель своими действиями преследуют?
И не ясна политика Apple в этом вопросе: да телефон "серый", да завезен в страну не официально, но в ситуации когда человек теряет не только устройство, но и доступ к icloud, какой ему смысл идти за новым айфоном, если восстановить данные не получится? В ситуации со-снятием блокировки активации, естественно, доступ к старому аккаунту он не получит, но хотя бы останется с работающим устройством.

В общем, будьте осторожны - Apple не рассылает СМС с требованием что то там подтвердить, смотрите в адресную строку, когда переходите по ссылкам - домен у apple начинается с "apple.com", поставьте запрос пин-кода на сим-карту.

P.S.: В полицию она обращаться не стала.

Как выяснилось позже, айфон 13 она купила два года назад у подруги (чеков и упаковки нет), айфон 16 куплен в магазине и все чеки и упаковка в наличии.

Я бы забыл об этой истории (ну потеряла и потеряла), если бы она позавчера (29 сентября) не рассказала мне, что новый телефон заблокировался и ничего сделать с ним она не может.
И вот тут она рассказала, что происходило последние полторы недели.

Атака.
15 сентября, в начале пятого вечера, ей приходит уведомление "от Apple" в котором её просят ввести данные аккаунта. Она переходит по ссылке из уведомления, вводит данные и больше ничего не происходит.
Её это не смущает, не вызывает никаких вопросов и она об этом благополучно забывает.

26 сентября, (через 11 дней, после атаки), утром, она смотрит время на телефоне и понимает, что телефон показывает +2 часа к московскому времени (вроде она упоминала, что какое то уведомление о смене часового пояса было, но это не точно). И в это же время или позже, её телефон блокируется как утраченный. При этом никаких сообщений или уведомлений с просьбой связаться или требование денег нет до сих пор.
Она пытается войти в iCloud с ПК- пароль изменен, пытается его восстановить - номер изменен, почта изменена. То есть, она вообще ничего не может сделать. (В поддержку она обращалась, я так понял они просто отморозились).
1 октября выясняется, что ее старый телефон до сих пор привязан ко-всем аккаунтам в которые она с него входила. Отвязываем от всего, о чем она смогла вспомнить, в яндексе, озоне и прочих магазинах проверяем наличие новых карт/заказов - все чисто. В этот же день отзвонилась поддержка Apple, еще раз запросили фото чека, коробки, расспросили об аккаунте, дате регистрации и прочие стандартные вопросы, сказали, что рассмотрение займет 7 дней, есть надежда, что они помогут

Лично для меня пока остается открытым вопрос: как они смогли узнать номер телефона?
Первая версия была спросить Сири. Проверил на таком же, если спросить сири свой номер телефона, то она требует или пароль или фейс, но, она вполне без проблем может набрать номер если ей его продиктовать, у МТСа есть короткий номер телефона при звонке на который робот продиктует номер с которого звонишь. Биллинг при этом чистый, никаких звонков и СМС в промежутке между утратой и блокировкой сим-карты, с телефона не было.

Итог.
А итога пока нет.
Есть вопрос, на который я ответа не нашел, а именно: откуда они узнали её номер телефона, до того как получили доступ к аккаунту? Похоже ответ есть. Скорее всего переставили симку в другой телефон, на андроиде это меню "сеть", там если выбрать сим-карту и нажать на "редактировать" можно увидеть номер телефона симки.
Есть запрос в Apple на который они ответа пока не дали. (Дали, ждем 7 дней)
И есть версия, что потерянный телефон и угон аккаунта, никак между собой не связаны, просто совпадение.

Мораль.
А мораль проста- не вводите данные своих аккаунтов, даже если СМС пришла от "надежного" источника.
Проблемы можно было избежать, если бы коллега, посмотрела в адресную строку браузера прежде чем вводить логин/пароль от аккаунта. К сожалению, из за блокировки телефона не посмотреть ни само СМС, ни ссылку, куда оно уводило.