Apples Hide My Email afslører din rigtige e-mail – sårbarhed stadig uoprettet efter over et år

Apples Hide My Email markedsføres som en funktion, der lader iCloud+-abonnenter oprette engangs- og anonyme e-mailadresser, som videresender til deres rigtige indbakke uden nogensinde at afsløre den ægte adresse. Men en sikkerhedssårbarhed, der blev opdaget for over et år siden, gør det stadig muligt for enhver med adgang til et genereret alias at finde brugerens rigtige iCloud-e-mail på få minutter – og Apple har ikke lukket hullet.

Sårbarheden: Rigtig e-mail afsløret på få minutter

Sikkerhedsforsker Tyler Murphy, medstifter af EasyOptOuts, opdagede en fejl, der lader en angriber finde en brugers rigtige iCloud-e-mailadresse ud fra et tilfældigt genereret Hide My Email-alias . I en test udført med 404 Media blev en nyoprettet Hide My Email-adresse med succes sporet tilbage til brugerens ægte Apple ID-e-mail på cirka fem minutter . Sårbarheden påvirkede begge typer af genererede adresser – @icloud.com og @privaterelay.appleid.com – og i testen virkede metoden efter sigende 100 % af gangene mod nyoprettede aliaser .

Hvordan det underminerer iCloud+'s privatlivsgaranti

Hide My Email er en flagskibsfunktion i iCloud+-abonnementet, der lover at lade brugere oprette engangs- og anonyme e-mailadresser, som videresender til deres rigtige indbakke uden nogensinde at afsløre den ægte adresse . Denne fejl bryder fuldstændig det løfte: enhver part med adgang til et genereret alias (en hjemmeside, en datamægler eller en ondsindet aktør) kan potentielt finde brugerens rigtige e-mail, hvilket gør funktionen ubrugelig til privatliv, anti-sporing og spam-beskyttelse .

Apples svar og domæneændringen

• Juni 2025 – Murphy rapporterede først sårbarheden til Apple. Apple anerkendte den og sagde, at de undersøgte sagen .
• Marts 2026 – Apple fortalte Murphy, at problemet var "løst i en nylig systemændring." Murphy testede igen og fandt, at fejlen stadig virkede, så Apples påståede rettelse var tilsyneladende ineffektiv .
• 16. juni 2026 – Apple annoncerede, at alle nye Hide My Email- og Sign in with Apple-aliaser fremover vil bruge et nyt, fælles domæne: @private.icloud.com, hvilket erstatter den tidligere opdeling mellem @icloud.com og @privaterelay.appleid.com .

Hvorfor domæneændringen kritiseres

Denne ændring løser ikke den underliggende sårbarhed. I stedet gør den funktionen værre for privatlivet på en anden måde . Tidligere var et Hide My Email-alias (f.eks. abc123@icloud.com) umuligt at skelne fra en almindelig personlig iCloud-e-mailadresse, så hjemmesider kunne ikke se, om en bruger var anonym . Det nye domæne @private.icloud.com markerer entydigt hver adresse som et privatlivsalias, hvilket gør det trivielt for enhver hjemmeside eller tjeneste at blokere, markere eller afvise anonyme tilmeldinger . Privatlivsforkæmpere har beskrevet dette som et træk, der "fjerner al tvetydighed" og gør funktionen mindre brugbar til sit formål .

Pr. 1. juli 2026 forbliver den centrale sårbarhed uoprettet – over et år efter den første afsløring .

Bredere bekymringer: Manglende løsning og myndighedsudleveringer

Uoprettet fejl efter 13+ måneder

Det faktum, at Apple ikke har rettet reverse-tracing-sårbarheden i over et år – på trods af at have hævdet, at den var patchet i marts 2026 – har rejst spørgsmål om Apples sikkerhedsresponsproces, og om iCloud+-privatlivsfunktioner får tilstrækkelig teknisk opmærksomhed .

Myndighedsudleveringer

I marts 2026 rapporterede flere medier, at Apple gav FBI den rigtige iCloud-e-mailadresse knyttet til et Hide My Email-alias under en trusselsundersøgelse . Retsdokumenter viste, at Apple overgav identiteten på mindst to iCloud+-abonnenter, der brugte funktionen . Selvom Apples servicevilkår altid har tilladt dette ved lovlige anmodninger, afslørede episoden, hvor meget information Apple kan og vil udlevere – inklusive koblingen mellem aliaser og rigtige konti . Dette modsiger markedsføringens indtryk af "anonym" e-mail-maskering og har yderligere undermineret tilliden til funktionens privatlivspåstande .

Opsummering af tillidsbekymringer

• Funktionen er samtidig sårbar over for teknisk udnyttelse (den uoprettede reverse-tracing-fejl) og juridisk gennemsigtig over for myndigheder (Apple gemmer koblingen og udleverer den, når de bliver tvunget) .
• Apples eneste offentlige ændring – domæneskiftet til @private.icloud.com – løser ikke sårbarheden og gør det i stedet lettere for tjenester at blokere anonyme brugere .
• Sikkerhedsforskere og privatlivsforkæmpere har argumenteret for, at kombinationen af disse problemer gør Hide My Email til et vildledende privatlivsprodukt, der ikke lever op til den anonymitet, det reklamerer for .