La falla di Hide My Email di Apple svela gli indirizzi reali: un anno senza fix

Come mina la garanzia di privacy di iCloud+

Hide My Email è una funzionalità di punta dell’abbonamento iCloud+, che promette di creare indirizzi email anonimi e usa e getta che inoltrano i messaggi alla casella reale senza mai esporre l’indirizzo vero . Questo bug distrugge completamente quella promessa: chiunque abbia accesso a un alias generato (un sito web, un data broker o un malintenzionato) può potenzialmente scoprire l’email reale dell’utente, vanificando lo scopo della funzione per la privacy, l’anti-tracciamento e la prevenzione dello spam .

La risposta di Apple e il cambio di dominio

• Giugno 2025 — Murphy ha segnalato la vulnerabilità ad Apple. Apple l’ha riconosciuta e ha dichiarato di aver avviato un’indagine .
• Marzo 2026 — Apple ha comunicato a Murphy che il problema era stato “risolto con una recente modifica di sistema.” Murphy ha testato nuovamente e ha scoperto che il bug funzionava ancora, quindi la presunta correzione di Apple si è rivelata inefficace .
• 16 giugno 2026 — Apple ha annunciato che tutti i nuovi alias di Hide My Email e Accedi con Apple utilizzeranno un nuovo dominio condiviso: @private.icloud.com, in sostituzione della precedente suddivisione tra @icloud.com e @privaterelay.appleid.com .

Perché il cambio di dominio viene criticato

Questa modifica non corregge la vulnerabilità sottostante. Al contrario, peggiora la privacy sotto un altro aspetto . In precedenza, un alias di Hide My Email (es. abc123@icloud.com) era indistinguibile da un normale indirizzo email iCloud personale, quindi i siti web non potevano capire se un utente era anonimo . Il nuovo dominio @private.icloud.com marca inequivocabilmente ogni indirizzo come alias per la privacy, rendendo banale per qualsiasi sito web o servizio bloccare, segnalare o rifiutare le iscrizioni anonime . I difensori della privacy hanno descritto questa mossa come un passo che “elimina del tutto quell’ambiguità”, rendendo la funzione meno utilizzabile per il suo scopo principale .

Al 1° luglio 2026, la vulnerabilità principale rimane senza patch – a più di un anno dalla segnalazione iniziale .

Preoccupazioni più ampie: mancanza di fix e divulgazioni alle forze dell’ordine

Bug irrisolto dopo oltre 13 mesi

Il fatto che Apple non abbia risolto davvero la vulnerabilità di reverse-tracing per oltre un anno – nonostante avesse dichiarato di averla corretta a marzo 2026 – ha sollevato interrogativi sul processo di risposta ai problemi di sicurezza di Apple e sull’adeguatezza delle risorse dedicate alle funzioni di privacy di iCloud+ .

Divulgazioni alle forze dell’ordine

A marzo 2026, diverse testate hanno riportato che Apple ha fornito all’FBI il vero indirizzo email iCloud collegato a un alias di Hide My Email durante un’indagine per minacce . I documenti giudiziari hanno mostrato che Apple ha consegnato l’identità di almeno due abbonati a iCloud+ che avevano utilizzato la funzione . Sebbene i termini di servizio di Apple abbiano sempre consentito questa pratica in caso di richieste legali, l’episodio ha rivelato quante informazioni Apple può e vuole consegnare – inclusa la mappatura tra alias e account reali . Questo contraddice l’impressione di marketing di un “mascheramento email anonimo” e ha ulteriormente eroso la fiducia nelle promesse di privacy della funzione .

Riepilogo dei problemi di fiducia

• La funzione è contemporaneamente vulnerabile allo sfruttamento tecnico (il bug di reverse-tracing non corretto) e trasparente dal punto di vista legale per le autorità (Apple conserva la mappatura e la consegna quando obbligata) .
• L’unica modifica pubblica di Apple – il passaggio al dominio @private.icloud.com – non risolve la vulnerabilità e anzi facilita il blocco degli utenti anonimi da parte dei servizi .
• Ricercatori di sicurezza e difensori della privacy hanno sostenuto che la combinazione di questi problemi rende Hide My Email un prodotto per la privacy fuorviante che non offre l’anonimato pubblicizzato .