Privacybelofte van Apple’s Hide My Email verbroken: lek blootgelegd na ruim een jaar zonder oplossing

Apple’s Hide My Email wordt gepromoot als een manier voor iCloud+-abonnees om wegwerpbare, anonieme e-mailadressen te genereren die berichten doorsturen naar hun echte inbox zonder ooit het werkelijke adres prijs te geven. Maar een beveiligingslek dat meer dan een jaar geleden werd ontdekt, stelt nog steeds iedereen met toegang tot een gegenereerd alias in staat om binnen enkele minuten het echte iCloud-adres van de gebruiker te achterhalen. Apple heeft het lek niet echt verholpen.

Het lek: echt e-mailadres binnen vijf minuten blootgelegd

Beveiligingsonderzoeker Tyler Murphy, medeoprichter van EasyOptOuts, ontdekte een bug waarmee een aanvaller van een willekeurig gegenereerd Hide My Email-alias het echte iCloud-e-mailadres van een gebruiker kan achterhalen . In een test uitgevoerd met 404 Media werd een vers aangemaakt Hide My Email-adres binnen ongeveer vijf minuten succesvol teruggeleid naar het echte Apple ID-e-mailadres van de gebruiker . Het lek trof beide typen gegenereerde adressen—@icloud.com en @privaterelay.appleid.com—en in de test werkte de methode naar verluidt 100% van de tijd tegen nieuw aangemaakte aliassen .

Hoe het de privacygarantie van iCloud+ ondermijnt

Hide My Email is een vlaggenschipfunctie van het iCloud+-abonnement die belooft dat gebruikers wegwerpbare, anonieme e-mailadressen kunnen aanmaken die berichten doorsturen naar hun echte inbox zonder ooit het werkelijke adres bloot te geven . Deze bug verbreekt die belofte volledig: iedere partij met toegang tot een gegenereerd alias (een website, een databroker of een kwaadwillende actor) kan mogelijk het echte e-mailadres van de gebruiker ontdekken, waarmee het doel van de functie voor privacy, anti-tracking en spampreventie teniet wordt gedaan .

Apple’s reactie en de domeinwijziging

• Juni 2025 — Murphy meldde het lek voor het eerst aan Apple. Apple bevestigde de melding en zei het te onderzoeken .
• Maart 2026 — Apple vertelde Murphy dat het probleem was “opgelost in een recente systeemwijziging.” Murphy testte opnieuw en ontdekte dat de bug nog steeds werkte; Apple’s zogenaamde oplossing bleek dus niet effectief .
• 16 juni 2026 — Apple kondigde aan dat alle nieuwe Hide My Email- en ‘Sign in with Apple’-aliassen een nieuw, gedeeld domein krijgen: @private.icloud.com, ter vervanging van de eerdere splitsing tussen @icloud.com en @privaterelay.appleid.com .

Waarom de domeinwijziging bekritiseerd wordt

Deze wijziging lost het onderliggende lek niet op. In plaats daarvan maakt het de functie op een andere manier slechter voor de privacy . Voorheen was een Hide My Email-alias (bijv. abc123@icloud.com) niet te onderscheiden van een gewoon persoonlijk iCloud-e-mailadres, waardoor websites niet konden zien of een gebruiker anoniem was . Het nieuwe domein @private.icloud.com markeert elk adres ondubbelzinnig als privacyalias, waardoor het voor elke website of dienst triviaal wordt om anonieme aanmeldingen te blokkeren, markeren of weigeren . Privacyvoorvechters hebben dit omschreven als een zet die “die ambiguïteit volledig wegneemt” en de functie minder bruikbaar maakt voor het kern Doel .

Per 1 juli 2026 is het kernlek nog steeds niet gedicht — meer dan een jaar na de eerste melding .

Bredere zorgen: uitblijven van fix en openbaarmakingen aan justitie

Onopgeloste bug na 13+ maanden

Het feit dat Apple het lek dat het echte adres blootlegt al meer dan een jaar niet echt heeft verholpen—ondanks de bewering in maart 2026 dat het was gepatcht—roept vragen op over Apple’s beveiligingsresponsproces en of privacyfuncties van iCloud+ voldoende technische aandacht krijgen .

Openbaarmakingen aan justitie

In maart 2026 berichtten meerdere media dat Apple de FBI het echte iCloud-e-mailadres heeft gegeven dat gekoppeld was aan een Hide My Email-alias tijdens een dreigingsonderzoek . Uit gerechtelijke stukken bleek dat Apple de identiteit van ten minste twee iCloud+-abonnees die de functie gebruikten, heeft overhandigd . Hoewel Apple’s algemene voorwaarden dit altijd al toestonden bij rechtmatige verzoeken, onthulde de episode hoeveel informatie Apple kan en zal overhandigen—inclusief de koppeling tussen aliassen en echte accounts . Dit spreekt de marketingindruk van “anoniem” e-mailmaskeren tegen en heeft het vertrouwen in de privacyclaims van de functie verder aangetast .

Samenvatting van vertrouwensproblemen

• De functie is tegelijkertijd kwetsbaar voor technische exploitatie (het onopgeloste lek) en juridisch transparant voor autoriteiten (Apple bewaart de koppeling en geeft deze af wanneer daartoe gedwongen) .
• Apple’s enige publieke verandering—de verschuiving naar het @private.icloud.com-domein—lost het lek niet op en maakt het juist gemakkelijker voor diensten om anonieme gebruikers te blokkeren .
• Beveiligingsonderzoekers en privacyvoorvechters hebben betoogd dat de combinatie van deze problemen Hide My Email tot een misleidend privacymiddel maakt dat niet de anonimiteit biedt die het adverteert .