A segurança de rastreamento estará sempre vinculada ao fato de o iPhone estar ligado e conectado à internet. Caso contrário, obviamente é impossível rastrear. Existe um recurso em que o iPhone envia a localização para a iCloud quando a bateria estiver muito baixa.
A melhor forma de recuperar o iPhone é acionando a Polícia Civil. As delegacias têm acesso às operadoras e podem realizar rastreamento por triangulação de antenas de rádio (desde que o iPhone esteja ligado, claro). Não é um rastreamento perfeito como o GPS, mas ajuda bastante a Polícia Civil e, aliado a outras técnicas de investigação, pode culminar na captura do vagabundo e recuperação do aparelho.
É sempre bom lembrar que o iPhone, diferente do Android, só roda iOS. Por isso, o iOS é programado para, quando for restaurado, pedir para ser novamente ativado. Cada iPhone possui uma identificação individual (não sei se a Apple usa apenas o IMEI ou outros números de identificação presentes nos chips do celular), por isso os servidores da Apple conhecem cada iPhone vendido no mundo.
Caso o dono tenha configurado o iPhone, por meio do site iCloud, no modo perdido, o cidadão que restaurar o celular e tentar ativá-lo vai se deparar com uma mensagem de que a única forma de ativar o telefone é com o login e senha da última conta iCloud associada a ele.
Caso não esteja em modo perdido
E O CELULAR TENHA SIDO DESASSOCIADO DA ANTIGA CONTA ICLOUD, o "novo" dono pode facilmente criar uma nova conta iCloud e ativar. O trecho destacado é o seguinte: para "formatar" o iPhone, você pode fazer pelo iTunes ou pelo próprio iPhone. Se for pelo iPhone, ele vai pedir login e senha da atual conta iCloud, de forma a desassociar o telefone desta conta e em seguida formatar. Se for pelo iTunes, salvo engano, é necessário que o computador seja "confiável", ou seja, na primeira vez que tentar conectar um iPhone ao iTunes de algum computador, é preciso digitar o passcode (senha de 4 ou 6 dígitos numéricos ou senha alfanumérica, dependendo de como você configurou a segurança do iPhone) para o iPhone "confiar" naquele computador.
Observe que, de uma forma ou de outra, para desassociar um iPhone de alguma conta iCloud, é preciso saber o login e senha da atual conta iCloud associada ou pelo menos o passcode do iPhone.
Tudo isso é possível porque os iPhones são "monitorados" pelos servidores da Apple. Como o iOS é o único sistema instalável no iPhone, a Apple consegue manter esse controle. Talvez, fazendo jailbreak seja possível ludibriar os servidores da Apple e conseguir criar uma nova conta iCloud (e aí possivelmente ficaria eternamente dependente de jailbreak). Outra forma, que desconfio ser a mais plausível, é a galera simplesmente abrir o iPhone e mudar algum chip identificador para que a Apple enxergue um "novo" iPhone sendo ativado.
Roubar iPhone é uma coisa, torná-lo atrativo para o receptador é outra.
Não é à toa o FBI ter penado tanto para desbloquear um iPhone. Aquele equipamento que estão vendendo, com dois cabos Lightning, para empresas e órgãos de governo interessados, custa um absurdo de caro. Duvido muito que o bandido da esquina tenha acesso a isso.