Bug 'Hide My Email' Apple Bocor Alamat Asli Pengguna, Setahun Belum Diperbaiki

Cara Kerja Bug Ini Menghancurkan Jaminan Privasi iCloud+

Hide My Email adalah fitur unggulan langganan iCloud+ yang menjanjikan pengguna dapat membuat alamat email sekali pakai dan anonim yang meneruskan ke kotak masuk asli tanpa pernah mengekspos alamat sebenarnya . Bug ini sepenuhnya mematahkan janji tersebut: pihak mana pun yang memiliki akses ke alias (situs web, broker data, atau aktor jahat) berpotensi mengetahui email asli pengguna, menggagalkan tujuan fitur untuk privasi, anti-pelacakan, dan pencegahan spam .

Respons Apple dan Perubahan Domain

• Juni 2025 — Murphy pertama kali melaporkan kerentanan ini ke Apple. Apple mengakuinya dan mengatakan sedang menyelidiki .
• Maret 2026 — Apple memberi tahu Murphy bahwa masalah telah "diselesaikan dalam perubahan sistem terkini." Murphy menguji ulang dan menemukan bug masih berfungsi, sehingga perbaikan yang diklaim Apple ternyata tidak efektif .
• 16 Juni 2026 — Apple mengumumkan bahwa semua alias Hide My Email dan Sign in with Apple yang baru akan menggunakan domain bersama yang baru: @private.icloud.com, menggantikan pemisahan sebelumnya antara @icloud.com dan @privaterelay.appleid.com .

Mengapa Perubahan Domain Dikritik

Perubahan ini tidak memperbaiki kerentanan yang mendasarinya. Sebaliknya, perubahan ini justru membuat fitur lebih buruk bagi privasi dengan cara yang berbeda . Sebelumnya, alias Hide My Email (misalnya, abc123@icloud.com) tidak dapat dibedakan dari alamat email iCloud pribadi biasa, sehingga situs web tidak tahu apakah pengguna sedang anonim . Domain baru @private.icloud.com secara jelas menandai setiap alamat sebagai alias privasi, sehingga situs atau layanan mana pun dengan mudah dapat memblokir, menandai, atau menolak pendaftaran anonim . Para advokat privasi menggambarkan langkah ini sebagai "menghilangkan ambiguitas itu sepenuhnya" dan membuat fitur menjadi kurang berguna untuk tujuan utamanya .

Hingga 1 Juli 2026, kerentanan inti masih belum ditambal—lebih dari setahun setelah pengungkapan awal .

Kekhawatiran Lebih Luas: Tidak Ada Perbaikan dan Pengungkapan ke Penegak Hukum

Bug yang belum diperbaiki setelah 13+ bulan

Fakta bahwa Apple tidak benar-benar memperbaiki kerentanan pelacakan balik selama lebih dari setahun—meskipun mengklaim telah ditambal pada Maret 2026—telah menimbulkan pertanyaan tentang proses respons keamanan Apple dan apakah fitur privasi iCloud+ menerima perhatian teknik yang memadai .

Pengungkapan ke penegak hukum

Pada Maret 2026, banyak media melaporkan bahwa Apple memberikan alamat email iCloud asli kepada FBI yang terkait dengan alias Hide My Email selama investigasi ancaman . Dokumen pengadilan menunjukkan Apple menyerahkan identitas setidaknya dua pelanggan iCloud+ yang menggunakan fitur tersebut . Meskipun ketentuan layanan Apple selalu mengizinkan hal ini untuk permintaan hukum, episode ini mengungkapkan seberapa banyak informasi yang dapat dan akan diserahkan Apple—termasuk pemetaan antara alias dan akun asli . Hal ini bertentangan dengan kesan pemasaran tentang "penyamaran" email anonim dan semakin mengikis kepercayaan pada klaim privasi fitur tersebut .

Ringkasan masalah kepercayaan

• Fitur ini secara bersamaan rentan terhadap eksploitasi teknis (bug pelacakan balik yang tidak ditambal) dan transparan secara hukum kepada otoritas (Apple menyimpan pemetaan dan menyerahkannya jika diminta) .
• Satu-satunya perubahan publik Apple—pergeseran domain @private.icloud.com—tidak menyelesaikan kerentanan dan justru memudahkan layanan untuk memblokir pengguna anonim .
• Peneliti keamanan dan advokat privasi berpendapat bahwa kombinasi masalah ini menjadikan Hide My Email sebagai produk privasi yang menyesatkan yang gagal memberikan anonimitas seperti yang diiklankan .