Приватність Apple Hide My Email під загрозою: невиправлена вразливість розкриває справжні адреси

Функція Apple Hide My Email, яка рекламується як спосіб створення одноразових анонімних адрес для передплатників iCloud+, має критичну вразливість. Виявлена понад рік тому, вона дозволяє будь-кому, хто має доступ до згенерованого псевдоніма, дізнатися справжню адресу електронної пошти користувача. Apple досі не виправила цю помилку .

Уразливість: справжня адреса стає відомою за лічені хвилини

Дослідник безпеки Тайлер Мерфі (Tyler Murphy), співзасновник EasyOptOuts, виявив баг, який дозволяє зловмиснику відновити справжню адресу iCloud з випадково згенерованого псевдоніма Hide My Email . У тесті, проведеному з виданням 404 Media, щойно створена адреса Hide My Email була успішно пов'язана зі справжньою адресою Apple ID приблизно за п'ять хвилин . Вразливість зачіпала обидва типи згенерованих адрес — @icloud.com та @privaterelay.appleid.com — і, за результатами тестування, спрацьовувала у 100% випадків для новостворених псевдонімів .

Як це підриває гарантію приватності iCloud+

Hide My Email — це флагманська функція передплати iCloud+, яка обіцяє користувачам можливість створювати одноразові анонімні адреси, що пересилають листи на справжню поштову скриньку, не розкриваючи її . Цей баг повністю знищує цю обіцянку: будь-яка сторона з доступом до згенерованого псевдоніма (вебсайт, брокер даних або зловмисник) може потенційно дізнатися справжню адресу електронної пошти, нівелюючи саму мету функції — захист приватності, протидію відстеженню та спаму .

Реакція Apple та зміна домену

• Червень 2025 року — Мерфі вперше повідомив Apple про вразливість. Компанія підтвердила отримання інформації та заявила, що проводить розслідування .
• Березень 2026 року — Apple повідомила Мерфі, що проблему було "вирішено в рамках нещодавніх системних змін". Однак після повторного тестування Мерфі виявив, що баг все ще працює, тобто заявлене виправлення виявилося неефективним .
• 16 червня 2026 року — Apple оголосила, що всі нові псевдоніми Hide My Email та Sign in with Apple використовуватимуть новий, спільний домен: @private.icloud.com, який замінює попередній розподіл між @icloud.com та @privaterelay.appleid.com .

Чому зміна домену викликає критику

Ця зміна не виправляє основної вразливості. Натомість вона погіршує приватність в інший спосіб . Раніше псевдонім Hide My Email (наприклад, abc123@icloud.com) був нерозрізненним від звичайної особистої адреси iCloud, тому вебсайти не могли визначити, чи користувач анонімний . Новий домен @private.icloud.com однозначно позначає кожну адресу як псевдонім приватності, що дозволяє будь-якому вебсайту чи сервісу блокувати, позначати або відмовляти в анонімній реєстрації . Захисники приватності описали цей крок як такий, що "повністю усуває цю неоднозначність" і робить функцію менш придатною для її основного призначення .

Станом на 1 липня 2026 року основна вразливість залишається невиправленою — вже понад рік після початкового повідомлення .

Ширші проблеми: відсутність виправлення та розкриття даних правоохоронцям

Невирішений баг через 13+ місяців

Той факт, що Apple не виправила вразливість зворотного трасування понад рік — незважаючи на заяву про виправлення у березні 2026 року — викликає питання щодо процесу реагування Apple на загрози безпеці та того, чи приділяється функціям приватності iCloud+ належна інженерна увага .

Розкриття даних правоохоронцям

У березні 2026 року численні видання повідомили, що Apple надала ФБР справжню адресу iCloud, пов'язану з псевдонімом Hide My Email, під час розслідування погроз . Судові документи показали, що Apple розкрила особи щонайменше двох передплатників iCloud+, які використовували цю функцію . Хоча умови використання Apple завжди дозволяли це за законними запитами, цей інцидент продемонстрував, скільки інформації Apple може та буде передавати, включаючи зв'язок між псевдонімами та реальними акаунтами . Це суперечить маркетинговому враженню "анонімного" маскування електронної пошти та ще більше підірвало довіру до заяв про приватність цієї функції .

Підсумок проблем довіри

• Функція одночасно є вразливою до технічної експлуатації (невиправлений баг зворотного трасування) та юридично прозорою для влади (Apple зберігає відповідність і передає її за вимогою) .
• Єдина публічна зміна Apple — перехід на домен @private.icloud.com — не вирішує вразливість, а натомість полегшує сервісам блокування анонімних користувачів .
• Дослідники безпеки та захисники приватності стверджують, що сукупність цих проблем робить Hide My Email оманливим продуктом для приватності, який не забезпечує анонімність, яку рекламує .