Apples Hide My Email-bugg avslöjar riktiga e-postadresser – över ett år utan fix

Apples Hide My Email-funktion marknadsförs som ett sätt för iCloud+-prenumeranter att skapa tillfälliga, anonyma e-postadresser som vidarebefordrar meddelanden till deras riktiga inkorg utan att avslöja den verkliga adressen. Men en säkerhetsbrist som upptäcktes för över ett år sedan gör att vem som helst med tillgång till en genererad aliasadress kan ta reda på användarens verkliga iCloud-e-post inom några minuter – och Apple har inte åtgärdat det på riktigt.

Sårbarheten: Riktiga e-postadressen avslöjas inom minuter

Säkerhetsforskaren Tyler Murphy, medgrundare av EasyOptOuts, upptäckte en bugg som gör att en angripare kan spåra en användares riktiga iCloud-e-postadress från en slumpmässigt genererad Hide My Email-alias . I ett test utfört tillsammans med 404 Media kunde en nyskapad Hide My Email-adress spåras tillbaka till användarens verkliga Apple ID-e-post inom ungefär fem minuter . Sårbarheten påverkade båda typerna av genererade adresser – @icloud.com och @privaterelay.appleid.com – och metoden fungerade i testerna i 100 % av fallen mot nyskapade alias .

Hur det undergräver iCloud+:s integritetslöfte

Hide My Email är en central iCloud+-funktion som lovar att låta användare skapa tillfälliga, anonyma e-postadresser som vidarebefordrar till deras riktiga inkorg utan att någonsin exponera den verkliga adressen . Denna bugg bryter helt det löftet: vem som helst med tillgång till en genererad aliasadress (en webbplats, en datamäklare eller en illvillig aktör) kan potentiellt upptäcka användarens riktiga e-postadress, vilket gör funktionen oanvändbar för integritetsskydd, spårningsskydd och spamförebyggande .

Apples svar och domänändringen

• Juni 2025 – Murphy rapporterade först sårbarheten till Apple. Apple bekräftade och sa att de utreder .
• Mars 2026 – Apple meddelade Murphy att problemet hade ”åtgärdats i en nyligen genomförd systemändring”. Murphy testade igen och fann att buggen fortfarande fungerade, så Apples påstådda fix var ineffektiv .
• 16 juni 2026 – Apple meddelade att alla nya Hide My Email- och Sign in with Apple-alias kommer att använda en ny, gemensam domän: @private.icloud.com, som ersätter den tidigare uppdelningen mellan @icloud.com och @privaterelay.appleid.com .

Varför domänändringen kritiseras

Denna ändring åtgärdar inte den underliggande sårbarheten. Istället gör den funktionen sämre för integriteten på ett annat sätt . Tidigare var ett Hide My Email-alias (t.ex. abc123@icloud.com) omöjligt att skilja från en vanlig personlig iCloud-e-postadress, så webbplatser kunde inte avgöra om en användare var anonym . Den nya domänen @private.icloud.com markerar entydigt varje adress som ett privat alias, vilket gör det trivialt för vilken webbplats eller tjänst som helst att blockera, flagga eller vägra anonyma registreringar . Integritetsförespråkare har beskrivit detta som ett drag som ”tar bort all tvetydighet” och gör funktionen mindre användbar för dess ursprungliga syfte .

Från och med 1 juli 2026 är den grundläggande sårbarheten fortfarande inte åtgärdad – över ett år efter den första rapporten .

Större frågor: Brist på fix och utlämnanden till myndigheter

Olöst bugg efter 13+ månader

Att Apple inte på riktigt har åtgärdat den omvända spårningssårbarheten på över ett år – trots att de påstod att den var åtgärdad i mars 2026 – har väckt frågor om Apples säkerhetsrutiner och om iCloud+:s integritetsfunktioner får tillräcklig teknisk uppmärksamhet .

Utlämnanden till brottsbekämpande myndigheter

I mars 2026 rapporterade flera medier att Apple lämnade ut den riktiga iCloud-e-postadressen som var kopplad till ett Hide My Email-alias till FBI i samband med en hotutredning . Domstolshandlingar visade att Apple lämnade ut identiteten på minst två iCloud+-prenumeranter som använt funktionen . Även om Apples användarvillkor alltid har tillåtit detta vid lagliga förfrågningar, avslöjade episoden hur mycket information Apple kan och kommer att lämna ut – inklusive mappningen mellan alias och riktiga konton . Detta strider mot det marknadsförda intrycket av ”anonym” e-postmaskering och har ytterligare urholkat förtroendet för funktionens integritetslöften .

Sammanfattning av förtroendeproblem

• Funktionen är samtidigt sårbar för tekniskt utnyttjande (den olagade omvända spårningsbuggen) och juridiskt transparent för myndigheter (Apple behåller mappningen och lämnar ut den vid tvång) .
• Apples enda offentliga ändring – domänbytet till @private.icloud.com – löser inte sårbarheten och gör det istället lättare för tjänster att blockera anonyma användare .
• Säkerhetsforskare och integritetsförespråkare har argumenterat för att kombinationen av dessa problem gör Hide My Email till en missvisande integritetsprodukt som inte lever upp till den anonymitet den utger sig för att erbjuda .