Funkce Hide My Email od Applu není tak bezpečná, jak se zdálo

Apple propaguje funkci Hide My Email jako způsob, jak si předplatitelé iCloud+ mohou vytvářet jednorázové anonymní e‑mailové adresy, které přeposílají zprávy do jejich skutečné schránky, aniž by kdy odhalily tu pravou adresu. Objevená bezpečnostní chyba, která je známá déle než rok, však umožňuje komukoli s přístupem k vygenerovanému aliasu během několika minut zjistit skutečný iCloud e‑mail uživatele – a Apple ji dosud skutečně neopravil.

Zranitelnost: Skutečný e‑mail odhalen během minut

Bezpečnostní výzkumník Tyler Murphy, spoluzakladatel společnosti EasyOptOuts, objevil chybu, která útočníkovi umožňuje zpětně zjistit skutečný iCloud e‑mail uživatele z náhodně vygenerovaného aliasu Hide My Email . Při testu provedeném ve spolupráci s 404 Media byla čerstvě vytvořená adresa Hide My Email úspěšně zpětně vystopována ke skutečnému Apple ID e‑mailu uživatele během přibližně pěti minut . Zranitelnost se týkala obou typů generovaných adres – @icloud.com i @privaterelay.appleid.com – a při testování metoda fungovala údajně ve 100 % případů u nově vytvořených aliasů .

Jak narušuje soukromí iCloud+

Hide My Email je vlajkovou funkcí předplatného iCloud+, která slibuje, že uživatelé mohou vytvářet jednorázové anonymní adresy, jež přeposílají zprávy do jejich skutečné schránky, aniž by kdy odhalily skutečnou adresu . Tato chyba zcela ruší tento slib: jakákoli strana s přístupem ke generovanému aliasu (webová stránka, datový broker nebo škodlivý útočník) může potenciálně zjistit skutečný e‑mail uživatele, čímž je účel funkce – ochrana soukromí, anti‑tracking a prevence spamu – zcela zmařen .

Reakce Applu a změna domény

• Červen 2025 – Murphy poprvé nahlásil zranitelnost Applu. Apple ji potvrdil a uvedl, že ji vyšetřuje .
• Březen 2026 – Apple Murphymu sdělil, že problém byl „vyřešen v nedávné systémové změně“. Murphy znovu otestoval a zjistil, že chyba stále funguje, Applem tvrzená oprava se tedy ukázala jako neúčinná .
• 16. června 2026 – Apple oznámil, že všechny nové aliasy Hide My Email a Přihlášení přes Apple budou používat novou, sdílenou doménu: @private.icloud.com, která nahradí dosavadní rozdělení mezi @icloud.com a @privaterelay.appleid.com .

Proč je změna domény kritizována

Tato změna neřeší základní zranitelnost. Místo toho zhoršuje soukromí jiným způsobem . Dříve byl alias Hide My Email (např. abc123@icloud.com) nerozeznatelný od běžné osobní iCloudové adresy, takže weby nemohly poznat, zda je uživatel anonymní . Nová doména @private.icloud.com jednoznačně označuje každou adresu jako anonymní alias, což každému webu nebo službě umožňuje snadno blokovat, označit nebo odmítnout anonymní registrace . Ochránci soukromí tuto změnu popsali jako krok, který „zcela odstraňuje nejednoznačnost“ a činí funkci méně použitelnou pro její hlavní účel .

K 1. červenci 2026 zůstává základní zranitelnost neopravena – více než rok po prvním nahlášení .

Širší obavy: Neopravená chyba a odhalení vůči úřadům

Nevyřešená chyba po více než 13 měsících

Skutečnost, že Apple neopravil zranitelnost zpětného vystopování déle než rok – přestože v březnu 2026 tvrdil, že byla opravena – vyvolává otázky ohledně procesu bezpečnostní reakce Applu a toho, zda se funkcím pro soukromí iCloud+ dostává odpovídající inženýrské pozornosti .

Odhalení vůči úřadům

V březnu 2026 několik médií informovalo, že Apple poskytl FBI skutečný iCloud e‑mail spojený s aliasem Hide My Email během vyšetřování výhrůžek . Soudní dokumenty ukázaly, že Apple předal totožnost nejméně dvou předplatitelů iCloud+, kteří funkci používali . Přestože Apple v podmínkách služby vždy umožňoval takové jednání v případě zákonných žádostí, tato epizoda odhalila, kolik informací Apple může a bude předávat – včetně mapování mezi aliasy a skutečnými účty . To je v rozporu s marketingovým dojmem „anonymního“ maskování e‑mailu a dále to narušilo důvěru v proklamované soukromí funkce .

Shrnutí obav o důvěryhodnost

• Funkce je současně technicky zneužitelná (neopravená chyba zpětného vystopování) a právně průhledná pro úřady (Apple uchovává mapování a předává je na základě žádosti) .
• Jediná veřejná změna Applu – přesun na doménu @private.icloud.com – neřeší zranitelnost a místo toho usnadňuje službám blokovat anonymní uživatele .
• Bezpečnostní výzkumníci a ochránci soukromí tvrdí, že kombinace těchto problémů činí z Hide My Email zavádějící produkt na ochranu soukromí, který neposkytuje slibovanou anonymitu .