ثغرة في 'إخفاء بريدي الإلكتروني' من آبل تكشف بريدك الحقيقي دون إصلاح منذ عام

ميزة Hide My Email (إخفاء بريدي الإلكتروني) من آبل تُسوَّق كأداة تتيح لمشتركي iCloud+ إنشاء عناوين بريد إلكتروني مؤقتة ومجهولة تُوجّه الرسائل إلى صندوق الوارد الحقيقي دون كشف البريد الأصلي أبدًا. لكن ثغرة أمنية تم اكتشافها منذ أكثر من عام لا تزال تسمح لأي شخص لديه إمكانية الوصول إلى عنوان وهمي بالوصول إلى بريد المستخدم الحقيقي في غضون دقائق — وآبل لم تُصلحها فعليًا.

الثغرة: البريد الإلكتروني الحقيقي مكشوف في دقائق

اكتشف الباحث الأمني تيلر ميرفي، المؤسس المشارك لشركة EasyOptOuts، ثغرة تسمح للمهاجم باستنتاج البريد الإلكتروني الحقيقي لمستخدم iCloud من عنوان Hide My Email الوهمي المُنشأ عشوائيًا . في اختبار أجرته مؤسسة 404 Media، تم تتبع عنوان Hide My Email جديد إلى بريد Apple ID الحقيقي الخاص بالمستخدم في غضون خمس دقائق تقريبًا . تؤثر الثغرة على كلا النوعين من العناوين المُنشأة — @icloud.com و @privaterelay.appleid.com — وفي الاختبارات، نجحت الطريقة بنسبة 100% مع العناوين الجديدة .

كيف تُقوّض ضمان الخصوصية في iCloud+

Hide My Email هي ميزة رئيسية في اشتراك iCloud+ تَعِد المستخدمين بقدرتهم على إنشاء عناوين بريد إلكتروني مؤقتة ومجهولة تُوجّه الرسائل إلى صندوق الوارد الحقيقي دون كشف البريد الأصلي مطلقًا . هذه الثغرة تُحطّم ذلك الوعد تمامًا: أي طرف لديه إمكانية الوصول إلى عنوان وهمي (موقع إلكتروني، وسيط بيانات، أو جهة خبيثة) يمكنه اكتشاف البريد الإلكتروني الحقيقي للمستخدم، مما يُبطل الغرض من الميزة فيما يتعلق بالخصوصية ومنع التتبع والبريد المزعج .

استجابة آبل وتغيير النطاق

• يونيو 2025 — أبلغ ميرفي آبل بالثغرة أول مرة. اعترفت آبل بالمشكلة وقالت إنها تحقق فيها .
• مارس 2026 — أخبرت آبل ميرفي أن المشكلة "حُلّت عبر تغيير حديث في النظام". اختبر ميرفي مرة أخرى ووجد أن الثغرة لا تزال تعمل، لذا فإن الإصلاح المزعوم من آبل كان غير فعال .
• 16 يونيو 2026 — أعلنت آبل أن جميع عناوين Hide My Email الجديدة وعناوين "تسجيل الدخول عبر Apple" ستستخدم نطاقًا مشتركًا جديدًا: @private.icloud.com، ليحل محل النطاقين السابقين @icloud.com و @privaterelay.appleid.com .

لماذا يُنتقد تغيير النطاق؟

هذا التغيير لا يُصلح الثغرة الأساسية. بل يجعله أسوأ للخصوصية بطريقة مختلفة . في السابق، كان عنوان Hide My Email (مثل abc123@icloud.com) غير قابل للتمييز عن عنوان iCloud شخصي عادي، لذا لم تستطع المواقع الإلكترونية معرفة ما إذا كان المستخدم مجهولاً . أما النطاق الجديد @private.icloud.com فيُعلِم بوضوح بأن كل عنوان هو أداة خصوصية، مما يسهل على أي موقع ويب أو خدمة حظر أو رفض أو الإبلاغ عن عمليات التسجيل المجهولة . وصف المدافعون عن الخصوصية هذه الخطوة بأنها "تُزيل هذا الغموض تمامًا" وتجعل الميزة أقل فائدة لهدفها الأساسي .

حتى 1 يوليو 2026، لا تزال الثغرة الأساسية دون تصحيح — بعد أكثر من عام على الإبلاغ الأولي .

مخاوف أوسع: غياب الإصلاح وإفصاحات إنفاذ القانون

ثغرة غير مُصلحة لمدة 13+ شهرًا

حقيقة عدم إصلاح آبل للثغرة بشكل حقيقي لأكثر من عام — رغم ادعائها أنها صُححت في مارس 2026 — أثارت تساؤلات حول عملية استجابة آبل الأمنية وما إذا كانت ميزات خصوصية iCloud+ تحظى بالاهتمام الهندسي الكافي .

إفصاحات إنفاذ القانون

في مارس 2026، أفادت عدة منافذ أن آبل أعطت مكتب التحقيقات الفيدرالي (FBI) البريد الإلكتروني الحقيقي لـ iCloud المرتبط بعنوان Hide My Email خلال تحقيق في تهديد . أظهرت الإيداعات القضائية أن آبل سلّمت هوية اثنين على الأقل من مشتركي iCloud+ الذين استخدموا الميزة . بينما تسمح شروط خدمة آبل دائمًا بذلك في حال الطلبات القانونية، كشفت الحلقة عن كمية المعلومات التي يمكن و ستُقدّمها آبل — بما في ذلك الربط بين العناوين الوهمية والحسابات الحقيقية . وهذا يتعارض مع الانطباع التسويقي بخصوصية "إخفاء البريد الإلكتروني" وزاد من تآكل الثقة في ادعاءات الميزة .

ملخص مخاوف الثقة

• الميزة في الوقت نفسه عرضة للاستغلال التقني (ثغرة التتبع العكسي غير المُصلحة) و شفافة قانونيًا للسلطات (تحتفظ آبل بالربط وتُسلّمه عند الطلب) .
• التغيير العام الوحيد من آبل — الانتقال إلى @private.icloud.com — لا يحل الثغرة ويجعل حظر المستخدمين المجهولين أسهل على الخدمات .
• جادل باحثون أمنيون ومدافعون عن الخصوصية بأن مجموعة هذه المشكلات تجعل Hide My Email منتج خصوصية مضللاً يفشل في تقديم عدم الكشف عن الهوية الذي يُروّج له .