Sårbarhet i Apples Hide My Email avslöjar riktiga e-postadresser

En brist i Apples Hide My Email-tjänst kan rapporteras tillåta nästan vem som helst att avslöja den riktiga e-postadressen bakom en genererad alias, och Apple har misslyckats med att åtgärda detta på mer än ett år sedan det först rapporterades. 404 Media håller tillbaka de tekniska detaljerna om sårbarheten eftersom den fortfarande är utnyttjbar, men publikationen verifierade problemet den här veckan med hjälp av en av sina egna Hide My Email-adresser. I tester med frivilliga av forskaren som upptäckte bristen, visade det sig att 100 % av Hide My Email-adresserna var utnyttjbara. Tyler Murphy, medgrundare av EasyOptOuts, upptäckte problemet och rapporterade det ansvarsfullt till Apple i juni 2025, tillsammans med instruktioner för att reproducera det. Apple bekräftade rapporten en månad senare och sa att de undersökte saken. Murphy sa: "Apple Hide My Email läcker e-postadresser som ska vara dolda. Vi rapporterade problemet och reproduktionsinstruktionerna till Apple för över ett år sedan. Vi vet inte varför det inte har åtgärdats, men vi känner oss inte bekväma med att vänta längre. Användare av Hide My Email förtjänar att veta att det kan vara möjligt för angripare att upptäcka deras dolda e-postadresser." Gratis, offentligt tillgängliga person-söksajter gör det enkelt att koppla en e-postadress till andra personliga detaljer, så personer som förlitar sig på Hide My Email för säkerhet kan vara i riskzonen. I mars 2026 sa Apple till Murphy att de hade "åtgärdat det rapporterade problemet i en nyligen genomförd systemändring", men Murphy upptäckte att bristen faktiskt inte hade stängts. Han gav ytterligare information, och Apple svarade igen för att säga att de fortfarande undersökte. I maj sa Apple återigen att problemet fortfarande var under utredning och bad Murphy att inte offentliggöra det förrän utredningen var klar. Murphy föreslog att Apple skulle pausa skapandet av nya Hide My Email-adresser som en tillfällig åtgärd för att begränsa kundernas risk, men det finns ingen indikation på att förslaget åtgärdades. I slutet av maj sa Apple att de förväntade sig att åtgärda problemet i en säkerhetsuppdatering "som förväntas inom de kommande veckorna." Hide My Email är en iCloud+-funktion som låter användare generera slumpmässiga alias-e-postadresser, främst för användning vid registrering av tjänster eller korrespondens med tredje part. Den är utformad för att skydda en användares riktiga e-postadress från skräppost, dataintrång och oönskad identifiering. Murphy noterade att många person-söksdatabaser är fritt tillgängliga online och kan koppla en e-postadress till en persons andra personliga detaljer, vilket innebär att alla som förlitar sig på Hide My Email för sin säkerhet kan vara mer utsatta än de inser. Förra månaden framkom det att Apples beslut att flytta Hide My Email till en dedikerad "private.icloud.com"-domän tycks ha konsekvensen att det blir lättare för plattformar som vill blockera iCloud-aliaser att göra det.