Bug Apple Hide My Email : votre adresse réelle exposée malgré un an d'attente

La fonction Hide My Email d'Apple est présentée comme un moyen pour les abonnés iCloud+ de générer des adresses e-mail jetables et anonymes qui transfèrent les messages vers leur boîte de réception sans jamais révéler leur adresse réelle. Mais une vulnérabilité de sécurité découverte il y a plus d'un an permet encore à quiconque a accès à un alias généré de découvrir la véritable adresse iCloud de l'utilisateur en quelques minutes — et Apple ne l'a pas vraiment corrigée.

La vulnérabilité : l'adresse réelle exposée en quelques minutes

Le chercheur en sécurité Tyler Murphy, co-fondateur d'EasyOptOuts, a découvert un bug qui permet à un attaquant de retrouver l'adresse e-mail iCloud réelle d'un utilisateur à partir d'un alias Hide My Email généré aléatoirement . Lors d'un test mené avec 404 Media, une adresse Hide My Email fraîchement créée a été retracée jusqu'à la véritable adresse Apple ID de l'utilisateur en environ cinq minutes . La vulnérabilité affecte les deux types d'adresses générées — @icloud.com et @privaterelay.appleid.com — et lors des tests, la méthode a fonctionné dans 100 % des cas contre les alias nouvellement créés .

Comment cela brise la promesse de confidentialité d'iCloud+

Hide My Email est une fonctionnalité phare de l'abonnement iCloud+ qui promet de permettre aux utilisateurs de créer des adresses e-mail anonymes et jetables qui transfèrent les messages vers leur boîte de réception sans jamais exposer l'adresse réelle . Ce bug brise complètement cette promesse : toute personne ayant accès à un alias généré (un site web, un courtier en données ou un acteur malveillant) peut potentiellement découvrir l'adresse e-mail réelle de l'utilisateur, anéantissant l'objectif de la fonctionnalité en matière de confidentialité, de lutte contre le pistage et de prévention des spams .

La réponse d'Apple et le changement de domaine

• Juin 2025 — Murphy signale la vulnérabilité à Apple. Apple accuse réception et indique enquêter .
• Mars 2026 — Apple informe Murphy que le problème a été « résolu lors d'un récent changement système ». Murphy teste à nouveau et constate que le bug fonctionne toujours, le correctif annoncé par Apple s'avérant donc inefficace .
• 16 juin 2026 — Apple annonce que tous les nouveaux alias Hide My Email et Connexion avec Apple utiliseront un nouveau domaine partagé : @private.icloud.com, remplaçant l'ancienne scission entre @icloud.com et @privaterelay.appleid.com .

Pourquoi le changement de domaine est critiqué

Ce changement ne corrige pas la vulnérabilité sous-jacente. Au lieu de cela, il rend la fonctionnalité pire pour la confidentialité d'une manière différente . Auparavant, un alias Hide My Email (par exemple, abc123@icloud.com) était indistinguable d'une adresse e-mail iCloud personnelle ordinaire, de sorte que les sites web ne pouvaient pas déterminer si un utilisateur était anonyme . Le nouveau domaine @private.icloud.com marque sans ambiguïté chaque adresse comme un alias de confidentialité, rendant trivial pour tout site web ou service de bloquer, signaler ou refuser les inscriptions anonymes . Les défenseurs de la vie privée ont décrit cela comme une mesure qui « supprime toute cette ambiguïté » et rend la fonctionnalité moins utile pour son objectif principal .

Au 1er juillet 2026, la vulnérabilité principale reste non corrigée — plus d'un an après la divulgation initiale .

Préoccupations plus larges : absence de correctif et divulgations aux forces de l'ordre

Un bug non résolu après plus de 13 mois

Le fait qu'Apple n'ait pas véritablement corrigé la vulnérabilité de traçage inversé depuis plus d'un an — malgré avoir prétendu l'avoir patchée en mars 2026 — soulève des questions sur le processus de réponse en matière de sécurité d'Apple et sur la question de savoir si les fonctionnalités de confidentialité d'iCloud+ bénéficient d'une attention technique suffisante .

Divulgations aux forces de l'ordre

En mars 2026, plusieurs médias ont rapporté qu'Apple a donné au FBI la véritable adresse e-mail iCloud liée à un alias Hide My Email lors d'une enquête pour menaces . Des documents judiciaires ont montré qu'Apple a divulgué l'identité d'au moins deux abonnés iCloud+ ayant utilisé la fonctionnalité . Bien que les conditions d'utilisation d'Apple aient toujours permis cela pour les demandes légales, cet épisode a révélé la quantité d'informations qu'Apple peut et va transmettre — y compris la correspondance entre les alias et les comptes réels . Cela contredit l'impression marketing de « masquage » anonyme des e-mails et a érodé davantage la confiance dans les promesses de confidentialité de la fonctionnalité .

Résumé des problèmes de confiance

• La fonctionnalité est à la fois vulnérable à l'exploitation technique (le bug de traçage inversé non corrigé) et juridiquement transparente pour les autorités (Apple conserve la correspondance et la transmet lorsqu'elle y est contrainte) .
• Le seul changement public d'Apple — le passage au domaine @private.icloud.com — ne résout pas la vulnérabilité et permet au contraire aux services de bloquer plus facilement les utilisateurs anonymes .
• Les chercheurs en sécurité et les défenseurs de la vie privée ont soutenu que la combinaison de ces problèmes fait de Hide My Email un produit de confidentialité trompeur qui ne parvient pas à offrir l'anonymat qu'il promet .