Un bug en 'Ocultar mi correo' de Apple revela direcciones reales en minutos y la compañía aún no lo arregla

Apple comercializa 'Ocultar mi correo' como una función que permite a los suscriptores de iCloud+ generar direcciones de correo electrónico desechables y anónimas que reenvían los mensajes a su bandeja de entrada real sin revelar nunca la dirección verdadera. Sin embargo, una vulnerabilidad de seguridad descubierta hace más de un año todavía permite que cualquiera con acceso a un alias generado pueda descubrir el correo electrónico real de iCloud del usuario en cuestión de minutos, y Apple no lo ha solucionado de verdad .

La vulnerabilidad: el correo real se expone en cuestión de minutos

El investigador de seguridad Tyler Murphy, cofundador de EasyOptOuts, descubrió un error que permite a un atacante rastrear la dirección de correo real de iCloud de un usuario a partir de un alias generado aleatoriamente por 'Ocultar mi correo' . En una prueba realizada con 404 Media, se logró rastrear una dirección de 'Ocultar mi correo' recién creada hasta la dirección real de Apple ID del usuario en aproximadamente cinco minutos . La vulnerabilidad afectó a ambos tipos de direcciones generadas —@icloud.com y @privaterelay.appleid.com— y en las pruebas, el método funcionó el 100% de las veces con alias recién creados .

Cómo socava la garantía de privacidad de iCloud+

'Ocultar mi correo' es una función estrella de la suscripción iCloud+ que promete permitir a los usuarios crear direcciones de correo electrónico desechables y anónimas que reenvían los mensajes a su bandeja de entrada real sin exponer nunca la dirección real . Este error rompe completamente esa promesa: cualquier parte con acceso a un alias generado (un sitio web, un corredor de datos o un actor malicioso) puede potencialmente descubrir el correo real del usuario, frustrando el propósito de la función para la privacidad, la lucha contra el rastreo y la prevención del spam .

La respuesta de Apple y el cambio de dominio

• Junio de 2025 — Murphy informó por primera vez de la vulnerabilidad a Apple. Apple la reconoció y dijo que la estaba investigando .
• Marzo de 2026 — Apple le dijo a Murphy que el problema se había "resuelto en un cambio reciente del sistema". Murphy volvió a probar y descubrió que el error seguía funcionando, por lo que la supuesta solución de Apple parecía ineficaz .
• 16 de junio de 2026 — Apple anunció que todos los nuevos alias de 'Ocultar mi correo' e 'Iniciar sesión con Apple' usarán un nuevo dominio compartido: @private.icloud.com, reemplazando la división anterior entre @icloud.com y @privaterelay.appleid.com .

Por qué se critica el cambio de dominio

Este cambio no soluciona la vulnerabilidad subyacente. En cambio, empeora la privacidad de otra manera . Anteriormente, un alias de 'Ocultar mi correo' (por ejemplo, abc123@icloud.com) era indistinguible de una dirección de correo personal normal de iCloud, por lo que los sitios web no podían saber si un usuario era anónimo . El nuevo dominio @private.icloud.com marca sin ambigüedad cada dirección como un alias de privacidad, lo que hace trivial para cualquier sitio web o servicio bloquear, marcar o rechazar los registros anónimos . Los defensores de la privacidad han descrito esto como un movimiento que "elimina esa ambigüedad por completo" y hace que la función sea menos útil para su propósito principal .

A 1 de julio de 2026, la vulnerabilidad principal sigue sin parchear, más de un año después de la divulgación inicial .

Preocupaciones más amplias: falta de solución y revelaciones a las autoridades

Error sin resolver después de más de 13 meses

El hecho de que Apple no haya solucionado realmente la vulnerabilidad de rastreo inverso durante más de un año, a pesar de afirmar que estaba parcheada en marzo de 2026, ha planteado preguntas sobre el proceso de respuesta de seguridad de Apple y si las funciones de privacidad de iCloud+ reciben la atención de ingeniería adecuada .

Revelaciones a las autoridades

En marzo de 2026, varios medios informaron que Apple entregó al FBI la dirección de correo real de iCloud vinculada a un alias de 'Ocultar mi correo' durante una investigación por amenazas . Los documentos judiciales mostraron que Apple entregó la identidad de al menos dos suscriptores de iCloud+ que usaron la función . Si bien los términos de servicio de Apple siempre han permitido esto para solicitudes legales, el episodio reveló cuánta información Apple puede y entregará, incluido el mapeo entre alias y cuentas reales . Esto contradice la impresión de marketing de "anonimato" del enmascaramiento de correo electrónico y ha erosionado aún más la confianza en las afirmaciones de privacidad de la función .

Resumen de las preocupaciones de confianza

• La función es simultáneamente vulnerable a la explotación técnica (el error de rastreo inverso sin parchear) y transparente legalmente para las autoridades (Apple mantiene el mapeo y lo entrega cuando se le exige) .
• El único cambio público de Apple —el cambio de dominio a @private.icloud.com— no soluciona la vulnerabilidad y, en cambio, facilita que los servicios bloqueen a los usuarios anónimos .
• Los investigadores de seguridad y los defensores de la privacidad han argumentado que la combinación de estos problemas convierte a 'Ocultar mi correo' en un producto de privacidad engañoso que no cumple con el anonimato que promociona .