แอปเปิลยังไม่แก้บั๊ก Hide My Email หลังจากแจ้งนานกว่า 1 ปี

การบ่อนทำลายการรับประกันความเป็นส่วนตัวของ iCloud+

Hide My Email เป็นฟีเจอร์เด่นสำหรับสมาชิก iCloud+ ที่ให้คำมั่นสัญญาว่าผู้ใช้สามารถสร้างที่อยู่อีเมลแบบไม่เปิดเผยตัวตนและใช้แล้วทิ้ง ซึ่งจะส่งต่อข้อความไปยังกล่องจดหมายจริง โดยไม่เปิดเผยที่อยู่จริง บั๊กนี้ ทำลายคำมั่นสัญญานั้นโดยสิ้นเชิง: ทุกฝ่ายที่เข้าถึงนามแฝงที่สร้างขึ้น (ไม่ว่าจะเป็นเว็บไซต์ นายหน้าข้อมูล หรือผู้ไม่หวังดี) สามารถค้นหาอีเมลจริงของผู้ใช้ได้ ซึ่งถือเป็นการล้มเหลวต่อวัตถุประสงค์ของฟีเจอร์ในด้านความเป็นส่วนตัว การป้องกันการติดตาม และการป้องกันสแปม

การตอบสนองของแอปเปิลและการเปลี่ยนโดเมน

• มิถุนายน 2025 — Murphy รายงานช่องโหว่ดังกล่าวให้แอปเปิลทราบเป็นครั้งแรก แอปเปิลรับทราบและบอกว่ากำลังตรวจสอบ
• มีนาคม 2026 — แอปเปิลแจ้ง Murphy ว่าปัญหาได้ "รับการแก้ไขในการเปลี่ยนแปลงระบบล่าสุด" แล้ว แต่เมื่อ Murphy ทดสอบอีกครั้ง พบว่าบั๊ก ยังคงใช้งานได้ ดังนั้นการอ้างว่าแก้ไขแล้วของแอปเปิลจึงดูเหมือนไม่มีประสิทธิภาพ
• 16 มิถุนายน 2026 — แอปเปิลประกาศว่านามแฝง Hide My Email และ Sign in with Apple ใหม่ทั้งหมดจะใช้ โดเมนใหม่ที่ใช้ร่วมกันคือ @private.icloud.com แทนที่การแยกระหว่าง @icloud.com และ @privaterelay.appleid.com ก่อนหน้านี้

ทำไมการเปลี่ยนโดเมนถึงถูกวิพากษ์วิจารณ์

การเปลี่ยนแปลงนี้ ไม่ได้ แก้ไขช่องโหว่พื้นฐาน แต่กลับทำให้ฟีเจอร์ แย่ลงในด้านความเป็นส่วนตัวในอีกทางหนึ่ง ก่อนหน้านี้ นามแฝง Hide My Email (เช่น abc123@icloud.com) แยกไม่ออก จากที่อยู่อีเมล iCloud ส่วนตัวทั่วไป ดังนั้นเว็บไซต์จึงไม่สามารถบอกได้ว่าผู้ใช้กำลังไม่เปิดเผยตัวตนหรือไม่ แต่โดเมนใหม่ @private.icloud.com ระบุอย่างชัดเจนว่าทุกที่อยู่เป็นนามแฝงส่วนตัว ทำให้เว็บไซต์หรือบริการต่างๆ สามารถ บล็อก ติดธง หรือปฏิเสธการสมัครแบบไม่เปิดเผยตัวตน ได้อย่างง่ายดาย นักเคลื่อนไหวด้านความเป็นส่วนตัวได้อธิบายการเคลื่อนไหวนี้ว่า "ลบความคลุมเครือนั้นออกไปโดยสิ้นเชิง" และทำให้ฟีเจอร์นี้มีประโยชน์น้อยลงตามวัตถุประสงค์หลัก

ณ วันที่ 1 กรกฎาคม 2026 ช่องโหว่หลักยังคงไม่มีแพตช์ — นานกว่าหนึ่งปีหลังจากมีการแจ้งครั้งแรก

ข้อกังวลในวงกว้าง: การไม่แก้ไขและการเปิดเผยข้อมูลให้หน่วยงานบังคับใช้กฎหมาย

บั๊กที่ยังไม่ได้รับการแก้ไขนานกว่า 13 เดือน

ความจริงที่ว่าแอปเปิลไม่ได้แก้ไขช่องโหว่การย้อนรอยอย่างแท้จริงมานานกว่าหนึ่งปี — ทั้งที่อ้างว่าได้แก้ไขแล้วในเดือนมีนาคม 2026 — ทำให้เกิดคำถามเกี่ยวกับกระบวนการตอบสนองด้านความปลอดภัยของแอปเปิล และว่าฟีเจอร์ความเป็นส่วนตัวของ iCloud+ ได้รับความสนใจด้านวิศวกรรมอย่างเพียงพอหรือไม่

การเปิดเผยข้อมูลให้หน่วยงานบังคับใช้กฎหมาย

ในเดือนมีนาคม 2026 สำนักข่ายหลายแห่งรายงานว่าแอปเปิล ได้มอบที่อยู่อีเมล iCloud จริง ที่เชื่อมโยงกับนามแฝง Hide My Email ให้กับ FBI ในระหว่างการสอบสวนภัยคุกคาม เอกสารของศาลแสดงให้เห็นว่าแอปเปิลได้เปิดเผยตัวตนของสมาชิก iCloud+ อย่างน้อยสองรายที่ใช้ฟีเจอร์นี้ แม้ว่าข้อกำหนดในการให้บริการของแอปเปิลจะอนุญาตให้ทำเช่นนี้ได้สำหรับคำขอที่ชอบด้วยกฎหมาย แต่เหตุการณ์นี้เผยให้เห็นว่าแอปเปิล สามารถ และ จะ มอบข้อมูลจำนวนเท่าใดให้กับทางการ รวมถึงการจับคู่ระหว่างนามแฝงกับบัญชีจริง ซึ่งขัดแย้งกับภาพลักษณ์ทางการตลาดที่ว่าเป็นการ "ปกปิด" อีเมลแบบไม่เปิดเผยตัวตน และได้บั่นทอนความเชื่อมั่นในคำกล่าวอ้างด้านความเป็นส่วนตัวของฟีเจอร์นี้ต่อไป

สรุปข้อกังวลด้านความเชื่อมั่น

• ฟีเจอร์นี้ เสี่ยงต่อการถูกโจมตีทางเทคนิค (บั๊กการย้อนรอยที่ยังไม่ได้รับการแก้ไข) และ โปร่งใสทางกฎหมายต่อเจ้าหน้าที่ (แอปเปิลเก็บการจับคู่และส่งมอบเมื่อถูกบังคับใช้)
• การเปลี่ยนแปลงเพียงอย่างเดียวของแอปเปิล — การเปลี่ยนไปใช้โดเมน @private.icloud.com — ไม่ได้แก้ไขช่องโหว่ และกลับทำให้บริการต่างๆ บล็อกผู้ใช้ที่ไม่เปิดเผยตัวตนได้ง่ายขึ้น
• นักวิจัยด้านความปลอดภัยและนักเคลื่อนไหวด้านความเป็นส่วนตัวได้โต้แย้งว่าการรวมกันของปัญหาเหล่านี้ทำให้ Hide My Email เป็น ผลิตภัณฑ์ความเป็นส่วนตัวที่ทำให้เข้าใจผิด ซึ่งล้มเหลวในการส่งมอบการไม่เปิดเผยตัวตนตามที่โฆษณาไว้