Bug no 'Ocultar Meu E-mail' da Apple expõe endereço real e Apple não corrige há mais de um ano

O recurso 'Ocultar Meu E-mail' (Hide My Email) da Apple é vendido como uma forma de assinantes do iCloud+ gerarem endereços de e-mail descartáveis e anônimos que encaminham mensagens para a caixa de entrada real sem nunca revelar o endereço verdadeiro. No entanto, uma vulnerabilidade de segurança descoberta há mais de um ano ainda permite que qualquer pessoa com acesso a um alias gerado descubra o e-mail real do usuário em questão de minutos — e a Apple não corrigiu o problema de fato .

A Vulnerabilidade: E-mail Real Exposto em Minutos

O pesquisador de segurança Tyler Murphy, cofundador da EasyOptOuts, descobriu uma falha que permite que um atacante descubra o endereço de e-mail real do iCloud de um usuário a partir de um alias gerado aleatoriamente pelo 'Ocultar Meu E-mail' . Em um teste realizado com o site 404 Media, um endereço recém-criado foi rastreado com sucesso até o e-mail real da Apple ID do usuário em aproximadamente cinco minutos . A vulnerabilidade afeta ambos os tipos de endereços gerados — @icloud.com e @privaterelay.appleid.com — e, nos testes, o método funcionou 100% das vezes contra aliases recém-criados .

Como a Falha Quebra a Promessa de Privacidade do iCloud+

O 'Ocultar Meu E-mail' é um recurso emblemático da assinatura iCloud+, que promete permitir que os usuários criem endereços de e-mail anônimos e descartáveis que encaminham mensagens para a caixa de entrada real sem nunca expor o endereço verdadeiro . Essa falha quebra completamente essa promessa: qualquer parte com acesso a um alias gerado (um site, um corretor de dados ou um agente malicioso) pode potencialmente descobrir o e-mail real do usuário, anulando o propósito do recurso para privacidade, anti-rastreamento e prevenção de spam .

A Resposta da Apple e a Mudança de Domínio

• Junho de 2025 — Murphy relatou a vulnerabilidade pela primeira vez à Apple. A empresa reconheceu o problema e disse que estava investigando .
• Março de 2026 — A Apple informou a Murphy que o problema havia sido “resolvido em uma mudança recente no sistema”. Murphy testou novamente e descobriu que a falha ainda funcionava, indicando que a suposta correção da Apple foi ineficaz .
• 16 de junho de 2026 — A Apple anunciou que todos os novos aliases do 'Ocultar Meu E-mail' e do 'Entrar com Apple' usarão um novo domínio compartilhado: @private.icloud.com, substituindo a divisão anterior entre @icloud.com e @privaterelay.appleid.com .

Por que a Mudança de Domínio é Criticada

Essa alteração não corrige a vulnerabilidade subjacente. Pelo contrário, ela torna o recurso pior para a privacidade de uma forma diferente . Anteriormente, um alias do 'Ocultar Meu E-mail' (por exemplo, abc123@icloud.com) era indistinguível de um endereço de e-mail pessoal comum do iCloud, então os sites não conseguiam saber se um usuário era anônimo . O novo domínio @private.icloud.com marca inequivocamente cada endereço como um alias de privacidade, tornando trivial para qualquer site ou serviço bloquear, sinalizar ou recusar cadastros anônimos . Defensores da privacidade descreveram essa medida como algo que “remove essa ambiguidade completamente” e torna o recurso menos utilizável para seu propósito principal .

Até 1º de julho de 2026, a vulnerabilidade central permanece sem correção — mais de um ano após a divulgação inicial .

Preocupações Mais Amplas: Falta de Correção e Revelações a Autoridades

Falha não resolvida após 13+ meses

O fato de a Apple não ter corrigido genuinamente a vulnerabilidade de rastreamento reverso por mais de um ano — apesar de afirmar que foi corrigida em março de 2026 — levantou questões sobre o processo de resposta de segurança da Apple e se os recursos de privacidade do iCloud+ recebem atenção adequada da engenharia .

Revelações a autoridades policiais

Em março de 2026, vários veículos de imprensa relataram que a Apple entregou ao FBI o endereço de e-mail real do iCloud vinculado a um alias do 'Ocultar Meu E-mail' durante uma investigação de ameaças . Documentos judiciais mostraram que a Apple entregou a identidade de pelo menos dois assinantes do iCloud+ que usaram o recurso . Embora os termos de serviço da Apple sempre tenham permitido isso em solicitações legais, o episódio revelou quanta informação a Apple pode e irá fornecer — incluindo o mapeamento entre aliases e contas reais . Isso contradiz a impressão de marketing de “anonimato” e corroeu ainda mais a confiança nas alegações de privacidade do recurso .

Resumo das preocupações com a confiança no recurso

• O recurso é simultaneamente vulnerável à exploração técnica (a falha de rastreamento reverso não corrigida) e legalmente transparente para as autoridades (a Apple mantém o mapeamento e o entrega quando exigido) .
• A única mudança pública da Apple — a mudança para o domínio @private.icloud.com — não resolve a vulnerabilidade e, em vez disso, facilita que os serviços bloqueiem usuários anônimos .
• Pesquisadores de segurança e defensores da privacidade argumentam que a combinação desses problemas faz do 'Ocultar Meu E-mail' um produto de privacidade enganoso que não oferece o anonimato que anuncia .