Apple「Hide My Email」漏洞一年未修 真實電郵5分鐘內被搵出

點樣破壞iCloud+嘅私隱承諾

Hide My Email本來係iCloud+嘅主打私隱功能，Apple話可以畀用戶創建一次性、匿名嘅電郵地址，寄去呢啲地址嘅郵件會自動轉發到真實收件箱，完全唔會暴露真正嘅電郵地址 。但呢個漏洞 完全打破咗呢個承諾：任何可以接觸到生成別名嘅一方（網站、數據經紀、黑客）都有可能發現用戶嘅真實電郵，令到呢個功能喺保護私隱、防止追蹤同阻擋垃圾郵件方面完全失效 。

Apple嘅回應同域名更改

• 2025年6月 — Murphy首次向Apple報告呢個漏洞。Apple確認收到，話會調查 。
• 2026年3月 — Apple通知Murphy，話問題已經「喺近期系統改動中解決」。但Murphy再測試，發現漏洞 仍然存在，Apple所謂嘅修復根本冇用 。
• 2026年6月16日 — Apple宣布所有新創建嘅Hide My Email同Sign in with Apple別名，將會使用一個 新嘅共用域名：@private.icloud.com，取代之前分開用 @icloud.com 同 @privaterelay.appleid.com 嘅做法 。

點解域名更改被批評？

呢個改動並 冇修復 底層嘅漏洞。相反，佢喺另一個層面上令私隱功能 仲衰過以前 。以前嘅Hide My Email別名（例如 abc123@icloud.com）同普通個人iCloud電郵地址係 完全冇分別 嘅，所以網站睇唔出用戶係咪用緊匿名電郵 。但新域名 @private.icloud.com 就 明明白白標記咗每個地址都係私隱別名，令到任何網站或者服務都可以好容易 封鎖、標記或者拒絕匿名登記 。私隱倡導者話呢個改動「完全移除咗嗰種模糊性」，令到呢個功能嘅核心用途大打折扣 。

截至2026年7月1日，核心漏洞仍然未修補 — 由首次通報起計已經超過一年 。

更廣泛嘅憂慮：未修復嘅漏洞同執法披露

超過13個月未解決嘅漏洞

Apple超過一年都冇真正修復呢個逆向追蹤漏洞——即使佢哋喺2026年3月聲稱已經修補——令人質疑Apple嘅安全回應程序，同埋iCloud+嘅私隱功能係咪得到足夠嘅工程資源 。

執法機關披露

2026年3月，多間媒體報導Apple喺一次威脅調查入面， 向FBI交出咗 同Hide My Email別名關聯嘅真實iCloud電郵地址 。法庭文件顯示Apple交出咗至少兩個iCloud+訂閱用戶嘅身份 。雖然Apple嘅服務條款一向容許佢哋咁樣做，但呢次事件揭示咗Apple 可以 同 會 交出幾多資訊——包括別名同真實帳戶之間嘅映射 。呢件事同Apple宣傳嘅「匿名」電郵掩蓋印象互相矛盾，進一步削弱咗用戶對呢個功能嘅信任 。

信任問題總結

• 呢個功能同時 有技術漏洞可被利用（未修補嘅逆向追蹤漏洞） 同 執法機關面前完全透明（Apple保留映射資料，並喺有需要時交出）。
• Apple唯一公開嘅改動——@private.icloud.com 域名轉移——冇解決到漏洞，反而令服務更容易封鎖匿名用戶 。
• 安全研究員同私隱倡導者認為，呢啲問題加埋，令Hide My Email成為一個 誤導人嘅私隱產品，根本達唔到佢宣傳嘅匿名效果 。