Applen Hide My Email -bugi paljastaa oikeat sähköpostiosoitteet – yli vuosi ilman korjausta

Miten tämä horjuttaa iCloud+:n yksityisyyslupausta

Hide My Email on iCloud+ -tilauksen lippulaivaominaisuus, jonka pitäisi antaa käyttäjien luoda kertakäyttöisiä sähköpostiosoitteita, jotka välittävät viestit oikeaan postilaatikkoon paljastamatta todellista osoitetta . Tämä bugi rikkoo kyseisen lupauksen täysin: kuka tahansa, jolla on pääsy luotuun aliakseen (verkkosivusto, tietovälittäjä tai pahantahtoinen toimija), voi mahdollisesti löytää käyttäjän oikean sähköpostin, mikä tekee ominaisuuden tarkoituksesta tyhjän .

Applen vastaus ja verkkotunnuksen muutos

• Kesäkuu 2025 – Murphy ilmoitti haavoittuvuudesta Applelle. Apple vahvisti sen ja sanoi tutkivansa asiaa .
• Maaliskuu 2026 – Apple kertoi Murphylle, että ongelma oli ”ratkaistu viimeaikaisessa järjestelmämuutoksessa.” Murphy testasi uudelleen ja huomasi bugin toimivan edelleen, joten Applen väitetty korjaus oli tehoton .
• 16. kesäkuuta 2026 – Apple ilmoitti, että kaikki uudet Hide My Email ja Sign in with Apple -aliakset käyttävät uutta, yhteistä verkkotunnusta: @private.icloud.com, joka korvaa aiemman jaon @icloud.com ja @privaterelay.appleid.com välillä .

Miksi verkkotunnuksen muutosta kritisoidaan

Tämä muutos ei korjaa taustalla olevaa haavoittuvuutta. Sen sijaan se tekee ominaisuudesta yksityisyyden kannalta huonomman toisella tavalla . Aiemmin Hide My Email -alias (esim. abc123@icloud.com) oli erottamaton tavallisesta iCloud-sähköpostiosoitteesta, joten verkkosivustot eivät voineet tietää, oliko käyttäjä anonyymi . Uusi verkkotunnus @private.icloud.com merkitsee yksiselitteisesti jokaisen osoitteen yksityisyysaliakseksi, mikä tekee jokaiselle verkkosivustolle tai palvelulle triviaaliksi estää, merkitä tai kieltäytyä anonyymeistä rekisteröitymisistä . Yksityisyyden puolestapuhujat ovat kuvanneet tätä siirtona, joka ”poistaa tuon epäselvyyden kokonaan” ja tekee ominaisuudesta vähemmän käyttökelpoisen .

1. heinäkuuta 2026 mennessä ydinhäavoittuvuus on edelleen korjaamatta – yli vuosi alkuperäisen ilmoituksen jälkeen .

Laajemmat huolenaiheet: Korjauksen puute ja lainvalvontapaljastukset

Korjaamaton bugi yli 13 kuukauden jälkeen

Se, ettei Apple ole todella korjannut osoitteenpaljastushaavoittuvuutta yli vuoteen – väitetystä maaliskuun 2026 korjauksesta huolimatta – on herättänyt kysymyksiä Applen tietoturvaprosesseista ja siitä, saavatko iCloud+:n yksityisyysominaisuudet riittävästi teknistä huomiota .

Lainvalvontapaljastukset

Maaliskuussa 2026 useat lähteet raportoivat, että Apple antoi FBI:lle oikean iCloud-sähköpostiosoitteen, joka oli linkitetty Hide My Email -aliakseen uhkatutkinnan yhteydessä . Oikeusasiakirjat paljastivat, että Apple luovutti vähintään kahden iCloud+ -tilaajan henkilöllisyyden, jotka olivat käyttäneet ominaisuutta . Vaikka Applen käyttöehdot ovat aina sallineet tämän lainmukaisissa pyynnöissä, tapaus paljasti, kuinka paljon tietoa Apple voi ja tulee luovuttamaan – mukaan lukien aliasten ja todellisten tilien väliset kytkökset . Tämä on ristiriidassa markkinointiviestinnän kanssa, joka antaa ymmärtää sähköpostin olevan ”anonyymi”, ja on heikentänyt luottamusta ominaisuuden yksityisyyslupauksiin .

Yhteenveto luottamushuolista

• Ominaisuus on samanaikaisesti haavoittuva tekniselle hyväksikäytölle (korjaamaton jäljitysbugi) ja läpinäkyvä viranomaisille (Apple säilyttää kytkökset ja luovuttaa ne pakotettuna) .
• Applen ainoa julkinen muutos – @private.icloud.com-verkkotunnussiirto – ei ratkaise haavoittuvuutta ja tekee sen sijaan anonyymien käyttäjien estämisestä helpompaa .
• Tietoturvatutkijat ja yksityisyyden puolestapuhujat ovat väittäneet, että näiden ongelmien yhdistelmä tekee Hide My Emailista harhaanjohtavan yksityisyystuotteen, joka ei tarjoa mainostamaansa anonymiteettiä .