Tính năng Ẩn Email của Apple bị phát hiện lỗ hổng bảo mật, tiết lộ địa chỉ iCloud thật chỉ trong 5 phút

Tính năng Hide My Email (Ẩn Email) của Apple được tiếp thị là một cách để người dùng iCloud+ tạo các địa chỉ email dùng một lần, ẩn danh, chuyển tiếp thư đến hộp thư thật mà không bao giờ tiết lộ địa chỉ thực. Tuy nhiên, một lỗ hổng bảo mật được phát hiện hơn một năm trước vẫn cho phép bất kỳ ai có quyền truy cập vào một bí danh đã tạo có thể tìm ra địa chỉ email iCloud thật của người dùng chỉ trong vài phút—và Apple vẫn chưa thực sự khắc phục nó.

Lỗ hổng: Địa chỉ Email Thật Bị Lộ Trong Vài Phút

Nhà nghiên cứu bảo mật Tyler Murphy, đồng sáng lập EasyOptOuts, đã phát hiện ra một lỗi cho phép kẻ tấn công truy ngược (reverse-engineer) địa chỉ email iCloud thật của người dùng từ một bí danh Hide My Email được tạo ngẫu nhiên . Trong một thử nghiệm được thực hiện với 404 Media, một địa chỉ Hide My Email mới tạo đã được truy ngược thành công về địa chỉ Apple ID thật của người dùng trong khoảng năm phút . Lỗ hổng này ảnh hưởng đến cả hai loại địa chỉ được tạo—@icloud.com và @privaterelay.appleid.com—và trong thử nghiệm, phương pháp này được báo cáo là hoạt động 100% đối với các bí danh mới tạo .

Cách Thức Nó Phá Vỡ Cam Kết Bảo Mật của iCloud+

Hide My Email là một tính năng hàng đầu của gói đăng ký iCloud+, hứa hẹn cho phép người dùng tạo các địa chỉ email ẩn danh, dùng một lần, chuyển tiếp thư đến hộp thư thật mà không bao giờ tiết lộ địa chỉ thực . Lỗi này phá vỡ hoàn toàn lời hứa đó: bất kỳ bên nào có quyền truy cập vào một bí danh đã tạo (một trang web, một nhà môi giới dữ liệu, hoặc một tác nhân độc hại) đều có thể phát hiện email thật của người dùng, làm mất tác dụng của tính năng này đối với quyền riêng tư, chống theo dõi và ngăn chặn thư rác .

Phản Hồi của Apple và Sự Thay Đổi Tên Miền

• Tháng 6/2025 — Murphy lần đầu tiên báo cáo lỗ hổng cho Apple. Apple xác nhận và cho biết đang điều tra .
• Tháng 3/2026 — Apple nói với Murphy rằng vấn đề đã được “giải quyết trong một thay đổi hệ thống gần đây”. Murphy thử nghiệm lại và thấy lỗi vẫn hoạt động, vì vậy bản vá được cho là của Apple tỏ ra không hiệu quả .
• Ngày 16/6/2026 — Apple thông báo rằng tất cả các bí danh Hide My Email và Sign in with Apple mới sẽ sử dụng một miền chung mới: @private.icloud.com, thay thế sự phân chia trước đây giữa @icloud.com và @privaterelay.appleid.com .

Tại Sao Việc Thay Đổi Tên Miền Bị Chỉ Trích

Sự thay đổi này không khắc phục được lỗ hổng cốt lõi. Thay vào đó, nó làm cho tính năng này tệ hơn cho quyền riêng tư theo một cách khác . Trước đây, một bí danh Hide My Email (ví dụ: abc123@icloud.com) không thể phân biệt được với một địa chỉ email iCloud cá nhân thông thường, vì vậy các trang web không thể biết liệu người dùng có đang ẩn danh hay không . Tên miền mới @private.icloud.com đánh dấu rõ ràng mọi địa chỉ là bí danh riêng tư, khiến cho bất kỳ trang web hoặc dịch vụ nào cũng có thể dễ dàng chặn, gắn cờ hoặc từ chối đăng ký ẩn danh . Các nhà hoạt động vì quyền riêng tư đã mô tả động thái này là “loại bỏ hoàn toàn sự mơ hồ đó” và làm cho tính năng này kém hữu dụng hơn đối với mục đích cốt lõi của nó .

Tính đến ngày 1/7/2026, lỗ hổng cốt lõi vẫn chưa được vá — hơn một năm sau khi được tiết lộ ban đầu .

Những Lo Ngại Rộng Hơn: Thiếu Bản Vá và Tiết Lộ cho Cơ Quan Thực Thi Pháp Luật

Lỗi chưa được giải quyết sau 13+ tháng

Việc Apple không thực sự khắc phục lỗ hổng truy ngược trong hơn một năm — mặc dù đã tuyên bố đã vá nó vào tháng 3/2026 — đã đặt ra câu hỏi về quy trình phản hồi bảo mật của Apple và liệu các tính năng bảo mật của iCloud+ có nhận được sự quan tâm kỹ thuật đầy đủ hay không .

Tiết lộ cho cơ quan thực thi pháp luật

Vào tháng 3/2026, nhiều hãng tin đưa tin rằng Apple đã cung cấp cho FBI địa chỉ email iCloud thật được liên kết với một bí danh Hide My Email trong một cuộc điều tra về mối đe dọa . Các hồ sơ tòa án cho thấy Apple đã chuyển danh tính của ít nhất hai người đăng ký iCloud+ đã sử dụng tính năng này . Mặc dù các điều khoản dịch vụ của Apple luôn cho phép điều này đối với các yêu cầu hợp pháp, nhưng tình tiết này đã tiết lộ lượng thông tin mà Apple có thể và sẽ cung cấp — bao gồm cả việc ánh xạ giữa các bí danh và tài khoản thực . Điều này mâu thuẫn với ấn tượng tiếp thị về “che giấu email ẩn danh” và đã làm xói mòn thêm niềm tin vào các tuyên bố về quyền riêng tư của tính năng này .

Tóm tắt các mối lo ngại về niềm tin

• Tính năng này đồng thời dễ bị khai thác kỹ thuật (lỗi truy ngược chưa được vá) và minh bạch về mặt pháp lý đối với các cơ quan chức năng (Apple giữ bản đồ và cung cấp khi bị yêu cầu) .
• Thay đổi công khai duy nhất của Apple — việc chuyển sang miền @private.icloud.com — không giải quyết được lỗ hổng và thay vào đó tạo điều kiện cho các dịch vụ chặn người dùng ẩn danh .
• Các nhà nghiên cứu bảo mật và những người ủng hộ quyền riêng tư đã lập luận rằng sự kết hợp của những vấn đề này khiến Hide My Email trở thành một sản phẩm bảo mật gây hiểu lầm không thực hiện được quyền ẩn danh mà nó quảng cáo .