Apple'ın 'E-postamı Gizle' Özelliği Sözünü Tutuyor mu? Bir Yıldır Çözülmeyen Güvenlik Açığı Gerçek Adresleri Ortaya Çıkarıyor

Apple'ın 'E-postamı Gizle' (Hide My Email) özelliği, iCloud+ abonelerine geçici ve anonim e-posta adresleri oluşturma vaadiyle pazarlanıyor. Bu adreslerin, kullanıcının gerçek e-posta adresini asla ifşa etmeden gelen iletileri gerçek gelen kutusuna yönlendirmesi gerekiyor. Ancak bir yıldan uzun süre önce keşfedilen bir güvenlik açığı, oluşturulan takma ada erişimi olan herkesin dakikalar içinde kullanıcının gerçek iCloud e-posta adresini bulmasına olanak tanıyor ve Apple bu sorunu henüz gerçekten çözebilmiş değil.

Güvenlik Açığı: Gerçek E-posta Dakikalar İçinde Bulunuyor

Güvenlik araştırmacısı Tyler Murphy, EasyOptOuts'un kurucu ortağı, rastgele oluşturulan bir 'E-postamı Gizle' takma adından kullanıcının gerçek iCloud e-posta adresini geriye dönük olarak bulmayı sağlayan bir hata keşfetti . 404 Media ile yapılan bir testte, yeni oluşturulan bir 'E-postamı Gizle' adresi yaklaşık beş dakika içinde kullanıcının gerçek Apple Kimliği e-postasına başarıyla bağlandı . Güvenlik açığı, oluşturulan her iki tür adresi de (@icloud.com ve @privaterelay.appleid.com) etkiliyor ve testlerde yöntemin yeni oluşturulan takma adlara karşı %100 oranında çalıştığı bildirildi .

iCloud+'ın Gizlilik Taahhüdünü Nasıl Zedeliyor?

'E-postamı Gizle', iCloud+ abonelerine sunulan amiral gemisi bir gizlilik özelliği olup, kullanıcıların gerçek adreslerini asla ifşa etmeden, istenmeyen e-postalara (spam) karşı koruma sağlayan, tek kullanımlık, anonim e-posta adresleri oluşturmasına olanak tanır . Bu güvenlik açığı bu vaadi tamamen boşa çıkarıyor: oluşturulan takma ada erişimi olan herhangi bir taraf (bir web sitesi, bir veri komisyoncusu veya kötü niyetli bir aktör) potansiyel olarak kullanıcının gerçek e-posta adresini keşfedebilir; bu da özelliğin gizlilik, izleme önleme ve spam engelleme amacını geçersiz kılar .

Apple'ın Yanıtı ve Alan Adı Değişikliği

• Haziran 2025 — Murphy, güvenlik açığını ilk kez Apple'a bildirdi. Apple sorunu kabul etti ve araştırdığını söyledi .
• Mart 2026 — Apple, Murphy'e sorunun "yakın zamanda yapılan bir sistem değişikliğiyle çözüldüğünü" bildirdi. Murphy testi tekrarladı ve hatanın hâlâ çalıştığını gördü; bu nedenle Apple'ın iddia ettiği düzeltme etkisiz kaldı .
• 16 Haziran 2026 — Apple, yeni 'E-postamı Gizle' ve 'Apple ile Giriş Yap' takma adlarının @icloud.com ve @privaterelay.appleid.com arasındaki mevcut ayrımın yerine yeni, ortak bir alan adı olan @private.icloud.com'u kullanacağını duyurdu .

Alan Adı Değişikliği Neden Eleştiriliyor?

Bu değişiklik, temeldeki güvenlik açığını gidermiyor. Aksine, özelliği farklı bir şekilde gizlilik açısından daha da kötüleştiriyor . Daha önce, bir 'E-postamı Gizle' takma adı (ör. abc123@icloud.com) normal bir kişisel iCloud e-posta adresinden ayırt edilemezdi, bu nedenle web siteleri bir kullanıcının anonim olup olmadığını anlayamazdı . Yeni @private.icloud.com alan adı, her adresi açıkça bir gizlilik takma adı olarak işaretliyor ve bu da herhangi bir web sitesi veya hizmetin anonim kayıtları engellemesini, işaretlemesini veya reddetmesini son derece kolaylaştırıyor . Gizlilik savunucuları bu hamleyi "belirsizliği tamamen ortadan kaldıran" ve özelliği temel amacı için daha az kullanışlı hale getiren bir adım olarak tanımlıyor .

1 Temmuz 2026 itibarıyla, temel güvenlik açığı hâlâ yamamamış durumda — ilk bildirimden bir yıldan uzun bir süre sonra .

Daha Geniş Endişeler: Çözüm Eksikliği ve Kolluk Kuvvetlerine Bilgi Sızdırılması

13+ aydır çözülmeyen hata

Apple'ın geriye dönük izleme güvenlik açığını bir yıldan uzun süredir gerçekten düzeltmemiş olması — Mart 2026'da yamalandığını iddia etmesine rağmen — Apple'ın güvenlik yanıt süreci ve iCloud+ gizlilik özelliklerinin yeterli mühendislik ilgisi görüp görmediği konusunda soru işaretleri yarattı .

Kolluk kuvvetlerine bilgi sızdırılması

Mart 2026'da, birden fazla haber kaynağı Apple'ın bir tehdit soruşturması sırasında FBI'a bir 'E-postamı Gizle' takma adına bağlı gerçek iCloud e-posta adresini verdiğini bildirdi . Mahkeme dosyaları, Apple'ın bu özelliği kullanan en az iki iCloud+ abonesinin kimliğini teslim ettiğini gösterdi . Apple'ın hizmet şartları yasal talepler için her zaman buna izin verse de, bu olay Apple'ın takma adlar ile gerçek hesaplar arasındaki eşlemeyi de içeren ne kadar bilgiyi teslim edebileceğini ve edeceğini ortaya koydu . Bu durum, "anonim" e-posta maskeleme pazarlama izlenimiyle çelişiyor ve özelliğin gizlilik iddialarına olan güveni daha da aşındırdı .

Güven endişelerinin özeti

• Özellik aynı anda hem teknik olarak sömürülebilir (düzeltilmemiş geriye dönük izleme hatası) hem de yasal olarak yetkililere karşı şeffaf (Apple eşlemeyi tutar ve zorlandığında teslim eder) durumda .
• Apple'ın tek kamuya açık değişikliği — @private.icloud.com alan adı geçişi — güvenlik açığını çözmez ve bunun yerine hizmetlerin anonim kullanıcıları engellemesini kolaylaştırır .
• Güvenlik araştırmacıları ve gizlilik savunucuları, bu sorunların birleşiminin 'E-postamı Gizle'yi reklamı yapılan anonimliği sağlayamayan yanıltıcı bir gizlilik ürünü haline getirdiğini savunuyor .