Bug Hide My Email Apple: Alamat Sebenar Bocor, Masih Tiada Tampung Selepas Setahun

Bagaimana Ia Menjejaskan Jaminan Privasi iCloud+

Hide My Email adalah ciri utama langganan iCloud+ yang menjanjikan pengguna boleh mencipta alamat e-mel pakai buang dan tanpa nama yang akan memajukan mesej ke peti masuk sebenar mereka tanpa pernah mendedahkan alamat sebenar . Kelemahan ini memusnahkan sepenuhnya janji tersebut: mana-mana pihak yang mempunyai akses kepada alias yang dijana (laman web, broker data, atau penjenayah siber) berpotensi untuk menemui alamat e-mel sebenar pengguna, menjejaskan tujuan asal ciri ini untuk privasi, anti-pengesanan, dan pencegahan spam .

Tindak Balas Apple dan Perubahan Domain

• Jun 2025 — Murphy mula-mula melaporkan kelemahan ini kepada Apple. Apple mengakuinya dan mengatakan sedang menyiasat .
• Mac 2026 — Apple memberitahu Murphy bahawa isu ini telah “diselesaikan dalam perubahan sistem terkini.” Murphy menguji semula dan mendapati kelemahan itu masih berfungsi, menunjukkan bahawa dakwaan pembaikan Apple tidak berkesan .
• 16 Jun 2026 — Apple mengumumkan bahawa semua alias Hide My Email dan Sign in with Apple yang baharu akan menggunakan domain baharu yang dikongsi: @private.icloud.com, menggantikan pembahagian sebelumnya antara @icloud.com dan @privaterelay.appleid.com .

Mengapa Perubahan Domain Dikritik

Perubahan ini tidak membetulkan kelemahan asas. Sebaliknya, ia menjadikan ciri ini lebih teruk untuk privasi dengan cara yang berbeza . Sebelum ini, alias Hide My Email (contohnya, abc123@icloud.com) adalah tidak dapat dibezakan daripada alamat e-mel iCloud peribadi biasa, jadi laman web tidak dapat mengetahui sama ada pengguna itu tanpa nama . Domain baharu @private.icloud.com dengan jelas menandakan setiap alamat sebagai alias privasi, menjadikannya mudah bagi mana-mana laman web atau perkhidmatan untuk menyekat, menandakan, atau menolak pendaftaran tanpa nama . Peguam bela privasi menggambarkan langkah ini sebagai satu yang “menghilangkan sebarang kekaburan” dan menjadikan ciri ini kurang berguna untuk tujuan asalnya .

Sehingga 1 Julai 2026, kelemahan utama masih belum ditambal — lebih setahun selepas pendedahan awal .

Kebimbangan Lebih Luas: Kekurangan Pembaikan dan Pendedahan kepada Pihak Berkuasa

Bug yang tidak selesai selepas 13+ bulan

Fakta bahawa Apple tidak membetulkan kelemahan pengesanan semula ini selama lebih setahun—walaupun mendakwa ia telah ditambal pada Mac 2026—telah menimbulkan persoalan tentang proses respons keselamatan Apple dan sama ada ciri privasi iCloud+ mendapat perhatian kejuruteraan yang mencukupi .

Pendedahan kepada pihak berkuasa

Pada Mac 2026, pelbagai sumber melaporkan bahawa Apple memberikan FBI alamat e-mel iCloud sebenar yang dikaitkan dengan alias Hide My Email semasa siasatan ancaman . Fail mahkamah menunjukkan Apple menyerahkan identiti sekurang-kurangnya dua pelanggan iCloud+ yang menggunakan ciri ini . Walaupun terma perkhidmatan Apple sentiasa membenarkan ini untuk permintaan yang sah, episod ini mendedahkan betapa banyak maklumat yang Apple boleh dan akan serahkan—termasuk pemetaan antara alias dan akaun sebenar . Ini bercanggah dengan tanggapan pemasaran “tanpa nama” penyamaran e-mel dan telah menghakis kepercayaan terhadap tuntutan privasi ciri ini .

Ringkasan kebimbangan kepercayaan

• Ciri ini secara serentak terdedah kepada eksploitasi teknikal (bug pengesanan semula yang tidak ditambal) dan telus dari segi undang-undang kepada pihak berkuasa (Apple menyimpan pemetaan dan menyerahkannya apabila dipaksa) .
• Satu-satunya perubahan awam Apple—peralihan domain @private.icloud.com—tidak menyelesaikan kelemahan dan sebaliknya memudahkan perkhidmatan menyekat pengguna tanpa nama .
• Penyelidik keselamatan dan peguam bela privasi berpendapat bahawa gabungan isu ini menjadikan Hide My Email sebagai produk privasi yang mengelirukan yang gagal memberikan kerahasiaan yang diiklankan .