Alvorlig sikkerhetshull i Apples e-postfunksjon: Ekte adresser avsløres

Apples Hide My Email markedsføres som en funksjon der iCloud+-abonnenter kan generere engangs-, anonyme e-postadresser som videresender til den virkelige innboksen uten å avsløre den faktiske adressen. Men en sikkerhetssårbarhet oppdaget for over ett år siden gjør at alle med tilgang til et generert alias kan finne brukerens virkelige iCloud-e-post på få minutter – og Apple har ikke fikset det.

Sårbarheten: Ekte e-post avslørt på få minutter

Sikkerhetsforskeren Tyler Murphy, medgrunnlegger av EasyOptOuts, oppdaget en feil som lar en angriper spore opp brukerens virkelige iCloud-e-postadresse fra et tilfeldig generert Hide My Email-alias . I en test utført sammen med 404 Media ble en nylig opprettet Hide My Email-adresse vellykket sporet tilbake til brukerens faktiske Apple-ID-e-post innen omtrent fem minutter . Sårbarheten rammet begge typene genererte adresser – @icloud.com og @privaterelay.appleid.com – og i testing fungerte metoden visstnok 100 prosent av tiden mot nylig opprettede aliaser .

Hvordan det undergraver iCloud+ personvernløfte

Hide My Email er en flaggskipfunksjon i iCloud+-abonnementet som lover å la brukere lage engangs-, anonyme e-postadresser som videresender til den virkelige innboksen uten å avsløre den faktiske adressen . Denne feilen bryter fullstendig løftet: enhver part med tilgang til et generert alias (en nettside, en datamegler eller en ondsinnet aktør) kan potensielt finne brukerens virkelige e-post, noe som opphever funksjonens formål for personvern, sporingsbeskyttelse og spamforebygging .

Apples respons og domeneendringen

• Juni 2025 – Murphy rapporterte først sårbarheten til Apple. Apple bekreftet den og sa at de undersøkte saken .
• Mars 2026 – Apple fortalte Murphy at problemet var «løst i en nylig systemendring». Murphy testet igjen og fant at feilen fortsatt fungerte, så Apples påståtte fiks viste seg å være ineffektiv .
• 16. juni 2026 – Apple kunngjorde at alle nye Hide My Email- og Logg på med Apple-aliaser vil bruke et nytt, felles domene: @private.icloud.com, som erstatter den tidligere todelingen mellom @icloud.com og @privaterelay.appleid.com .

Hvorfor domeneendringen kritiseres

Denne endringen fikser ikke den underliggende sårbarheten. I stedet gjør den funksjonen verre for personvernet på en annen måte . Tidligere var et Hide My Email-alias (f.eks. abc123@icloud.com) umulig å skille fra en vanlig personlig iCloud-e-postadresse, så nettsteder kunne ikke vite om en bruker var anonym . Det nye domenet @private.icloud.com markerer umiskjennelig hver adresse som et personvernalias, noe som gjør det trivielt for ethvert nettsted eller tjeneste å blokkere, flagge eller nekte anonyme påmeldinger . Personvernforkjempere har beskrevet dette som et grep som «fjerner all tvetydighet» og gjør funksjonen mindre brukbar for det tiltenkte formålet .

Per 1. juli 2026 er kjernesårbarheten fortsatt ikke lappet – over ett år etter den første rapporteringen .

Bredere bekymringer: Manglende fiks og utlevering til politi

Uløst feil etter over 13 måneder

At Apple ikke har fikset sårbarheten for omvendt sporing på over ett år – til tross for at de hevdet den var lappet i mars 2026 – har reist spørsmål om Apples sikkerhetsresponsprosess og om iCloud+ personvernfunksjoner får tilstrekkelig teknisk oppmerksomhet .

Utlevering til politi

I mars 2026 rapporterte flere medier at Apple ga FBI den virkelige iCloud-e-postadressen knyttet til et Hide My Email-alias under en trusseletterforskning . Rettsdokumenter viste at Apple overlot identiteten til minst to iCloud+-abonnenter som brukte funksjonen . Selv om Apples vilkår for bruk alltid har tillatt dette ved lovlige forespørsler, avslørte episoden hvor mye informasjon Apple kan og vil utlevere – inkludert koblingen mellom aliaser og virkelige kontoer . Dette står i kontrast til markedsføringsinntrykket av «anonym» e-postmaskering og har ytterligere svekket tilliten til funksjonens personvernløfter .

Oppsummering av tillitsproblemer

• Funksjonen er samtidig sårbar for teknisk utnyttelse (den ulappede feilen for omvendt sporing) og rettslig transparent overfor myndigheter (Apple beholder koblingen og utleverer den når de blir pålagt det) .
• Apples eneste offentlige endring – domeneendringen til @private.icloud.com – løser ikke sårbarheten og gjør det i stedet enklere for tjenester å blokkere anonyme brukere .
• Sikkerhetsforskere og personvernforkjempere har argumentert for at kombinasjonen av disse problemene gjør Hide My Email til et misvisende personvernprodukt som ikke leverer anonymiteten det reklamerer for .