Bug 'Hide My Email' Apple Bocor Alamat Asli Pengguna, Setahun Belum Diperbaiki

Fitur Hide My Email milik Apple dipasarkan sebagai cara bagi pelanggan iCloud+ untuk membuat alamat email sekali pakai yang anonim. Alamat ini meneruskan email ke kotak masuk asli tanpa pernah mengungkapkan alamat sesungguhnya. Namun, celah keamanan yang ditemukan lebih dari setahun lalu masih memungkinkan siapa pun yang memiliki akses ke alias tersebut mengetahui alamat iCloud asli pengguna hanya dalam hitungan menit—dan Apple belum benar-benar memperbaikinya .

Celah: Email Asli Terbuka dalam Hitungan Menit

Peneliti keamanan Tyler Murphy, salah satu pendiri EasyOptOuts, menemukan bug yang memungkinkan penyerang membalikkan rekayasa alamat email iCloud asli pengguna dari alias Hide My Email yang dihasilkan secara acak . Dalam pengujian bersama 404 Media, alamat Hide My Email yang baru dibuat berhasil dilacak kembali ke Apple ID asli pengguna dalam waktu sekitar lima menit . Kerentanan ini memengaruhi kedua jenis alamat yang dihasilkan—@icloud.com dan @privaterelay.appleid.com—dan dalam pengujian, metode ini dilaporkan berhasil 100% terhadap alias yang baru dibuat .

Cara Kerja Bug Ini Menghancurkan Jaminan Privasi iCloud+

Hide My Email adalah fitur unggulan langganan iCloud+ yang menjanjikan pengguna dapat membuat alamat email sekali pakai dan anonim yang meneruskan ke kotak masuk asli tanpa pernah mengekspos alamat sebenarnya . Bug ini sepenuhnya mematahkan janji tersebut: pihak mana pun yang memiliki akses ke alias (situs web, broker data, atau aktor jahat) berpotensi mengetahui email asli pengguna, menggagalkan tujuan fitur untuk privasi, anti-pelacakan, dan pencegahan spam .

Respons Apple dan Perubahan Domain

• Juni 2025 — Murphy pertama kali melaporkan kerentanan ini ke Apple. Apple mengakuinya dan mengatakan sedang menyelidiki .
• Maret 2026 — Apple memberi tahu Murphy bahwa masalah telah "diselesaikan dalam perubahan sistem terkini." Murphy menguji ulang dan menemukan bug masih berfungsi, sehingga perbaikan yang diklaim Apple ternyata tidak efektif .
• 16 Juni 2026 — Apple mengumumkan bahwa semua alias Hide My Email dan Sign in with Apple yang baru akan menggunakan domain bersama yang baru: @private.icloud.com, menggantikan pemisahan sebelumnya antara @icloud.com dan @privaterelay.appleid.com .

Mengapa Perubahan Domain Dikritik

Perubahan ini tidak memperbaiki kerentanan yang mendasarinya. Sebaliknya, perubahan ini justru membuat fitur lebih buruk bagi privasi dengan cara yang berbeda . Sebelumnya, alias Hide My Email (misalnya, abc123@icloud.com) tidak dapat dibedakan dari alamat email iCloud pribadi biasa, sehingga situs web tidak tahu apakah pengguna sedang anonim . Domain baru @private.icloud.com secara jelas menandai setiap alamat sebagai alias privasi, sehingga situs atau layanan mana pun dengan mudah dapat memblokir, menandai, atau menolak pendaftaran anonim . Para advokat privasi menggambarkan langkah ini sebagai "menghilangkan ambiguitas itu sepenuhnya" dan membuat fitur menjadi kurang berguna untuk tujuan utamanya .

Hingga 1 Juli 2026, kerentanan inti masih belum ditambal—lebih dari setahun setelah pengungkapan awal .

Kekhawatiran Lebih Luas: Tidak Ada Perbaikan dan Pengungkapan ke Penegak Hukum

Bug yang belum diperbaiki setelah 13+ bulan

Fakta bahwa Apple tidak benar-benar memperbaiki kerentanan pelacakan balik selama lebih dari setahun—meskipun mengklaim telah ditambal pada Maret 2026—telah menimbulkan pertanyaan tentang proses respons keamanan Apple dan apakah fitur privasi iCloud+ menerima perhatian teknik yang memadai .

Pengungkapan ke penegak hukum

Pada Maret 2026, banyak media melaporkan bahwa Apple memberikan alamat email iCloud asli kepada FBI yang terkait dengan alias Hide My Email selama investigasi ancaman . Dokumen pengadilan menunjukkan Apple menyerahkan identitas setidaknya dua pelanggan iCloud+ yang menggunakan fitur tersebut . Meskipun ketentuan layanan Apple selalu mengizinkan hal ini untuk permintaan hukum, episode ini mengungkapkan seberapa banyak informasi yang dapat dan akan diserahkan Apple—termasuk pemetaan antara alias dan akun asli . Hal ini bertentangan dengan kesan pemasaran tentang "penyamaran" email anonim dan semakin mengikis kepercayaan pada klaim privasi fitur tersebut .

Ringkasan masalah kepercayaan

• Fitur ini secara bersamaan rentan terhadap eksploitasi teknis (bug pelacakan balik yang tidak ditambal) dan transparan secara hukum kepada otoritas (Apple menyimpan pemetaan dan menyerahkannya jika diminta) .
• Satu-satunya perubahan publik Apple—pergeseran domain @private.icloud.com—tidak menyelesaikan kerentanan dan justru memudahkan layanan untuk memblokir pengguna anonim .
• Peneliti keamanan dan advokat privasi berpendapat bahwa kombinasi masalah ini menjadikan Hide My Email sebagai produk privasi yang menyesatkan yang gagal memberikan anonimitas seperti yang diiklankan .