此漏洞影響兩種格式的匿名地址:@icloud.com 以及 @privaterelay.appleid.com。研究人員表示,在測試範圍內針對所有新產生的別名進行驗證,該方法「100% 成功」 。
「隱藏我的電郵」是 iCloud+ 訂閱服務的核心功能之一,承諾讓用戶建立一次性、匿名的電子郵件地址,所有寄至此地址的郵件都會自動轉寄到用戶的真實信箱,過程中不會洩露真實地址 。這項漏洞徹底打破了這項承諾:任何取得該匿名地址的第三方(網站、資料仲介商、或惡意攻擊者),都有機會找出用戶的真實電郵,使得這項功能在保護隱私、防止追蹤及抵擋垃圾郵件上的效用完全喪失 。
@private.icloud.com,取代過去分屬 @icloud.com 和 @privaterelay.appleid.com 的情況 。這項變更並沒有修補底層存在的安全性漏洞,反而從另一個角度讓隱私保護變得更差 。過去,一個 abc123@icloud.com 格式的「隱藏我的電郵」地址,與一般的個人 iCloud 信箱地址在格式上無法區分,網站無法判斷用戶是否正在使用匿名功能 。
新的 @private.icloud.com 網域則毫無模糊空間,任何收到此格式地址的網站或服務,都能一眼認出這是個隱私別名。這讓網站可以輕易地封鎖、標記或拒絕此類匿名註冊 。隱私倡議者批評此舉「完全消除了混淆空間」,使該功能的核心用途大打折扣 。
截至 2026 年 7 月 1 日,這項核心漏洞仍未獲得修補,從最初揭露至今已超過一年 。
Apple 在超過一年的時間裡未能真正修復此反向追蹤漏洞,甚至在 2026 年 3 月錯誤地宣稱問題已解決,引發外界對 Apple 安全回應流程以及 iCloud+ 隱私功能是否獲得足夠資源的質疑 。
2026 年 3 月,多家媒體報導 Apple 在一場威脅調查中,向 FBI 提供了使用「隱藏我的電郵」別名背後的實際 iCloud 電子郵件地址 。法院文件顯示,Apple 至少交出了兩名 iCloud+ 訂閱用戶的真實身份 。雖然 Apple 的服務條款始終允許配合合法的執法請求,但這起事件揭示了 Apple 能夠且將會交出多少資訊——包括別名與真實帳號之間的對應關係 。這與該功能營造的「匿名」郵件遮罩形象相互矛盾,進一步侵蝕了用戶對該功能隱私保護聲明的信任 。
@private.icloud.com 網域——並未解決漏洞,反而讓服務商更容易封鎖匿名使用者 。此漏洞影響兩種格式的匿名地址:@icloud.com 以及 @privaterelay.appleid.com。研究人員表示,在測試範圍內針對所有新產生的別名進行驗證,該方法「100% 成功」 。
「隱藏我的電郵」是 iCloud+ 訂閱服務的核心功能之一,承諾讓用戶建立一次性、匿名的電子郵件地址,所有寄至此地址的郵件都會自動轉寄到用戶的真實信箱,過程中不會洩露真實地址 。這項漏洞徹底打破了這項承諾:任何取得該匿名地址的第三方(網站、資料仲介商、或惡意攻擊者),都有機會找出用戶的真實電郵,使得這項功能在保護隱私、防止追蹤及抵擋垃圾郵件上的效用完全喪失 。
@private.icloud.com,取代過去分屬 @icloud.com 和 @privaterelay.appleid.com 的情況 。這項變更並沒有修補底層存在的安全性漏洞,反而從另一個角度讓隱私保護變得更差 。過去,一個 abc123@icloud.com 格式的「隱藏我的電郵」地址,與一般的個人 iCloud 信箱地址在格式上無法區分,網站無法判斷用戶是否正在使用匿名功能 。
新的 @private.icloud.com 網域則毫無模糊空間,任何收到此格式地址的網站或服務,都能一眼認出這是個隱私別名。這讓網站可以輕易地封鎖、標記或拒絕此類匿名註冊 。隱私倡議者批評此舉「完全消除了混淆空間」,使該功能的核心用途大打折扣 。
截至 2026 年 7 月 1 日,這項核心漏洞仍未獲得修補,從最初揭露至今已超過一年 。
Apple 在超過一年的時間裡未能真正修復此反向追蹤漏洞,甚至在 2026 年 3 月錯誤地宣稱問題已解決,引發外界對 Apple 安全回應流程以及 iCloud+ 隱私功能是否獲得足夠資源的質疑 。
2026 年 3 月,多家媒體報導 Apple 在一場威脅調查中,向 FBI 提供了使用「隱藏我的電郵」別名背後的實際 iCloud 電子郵件地址 。法院文件顯示,Apple 至少交出了兩名 iCloud+ 訂閱用戶的真實身份 。雖然 Apple 的服務條款始終允許配合合法的執法請求,但這起事件揭示了 Apple 能夠且將會交出多少資訊——包括別名與真實帳號之間的對應關係 。這與該功能營造的「匿名」郵件遮罩形象相互矛盾,進一步侵蝕了用戶對該功能隱私保護聲明的信任 。
@private.icloud.com 網域——並未解決漏洞,反而讓服務商更容易封鎖匿名使用者 。