Apple ha risolto una vulnerabilità legata a Hide My Email, la funzione pensata per mascherare il vero indirizzo di posta degli utenti. Il problema, però, aveva un effetto paradossale: in alcune condizioni poteva far emergere proprio l’email reale che avrebbe dovuto restare nascosta.
La falla riguardava il servizio disponibile per gli abbonati a iCloud+ e Apple One, che consente di creare indirizzi casuali e univoci con inoltro automatico alla casella personale. In teoria, questo sistema serve a proteggere la privacy e a ridurre l’esposizione dello storico indirizzo principale dell’utente. In pratica, almeno per un periodo, non ha garantito la sicurezza promessa.
Apple e Hide My Email: il bug che esponeva l’indirizzo reale
Secondo quanto ricostruito da 404 Media, il problema è stato scoperto da Tyler Murphy, co-fondatore di EasyOptOuts, che avrebbe segnalato la vulnerabilità già nel giugno 2025. Apple avrebbe dichiarato di averla corretta a marzo 2026, ma il difetto sarebbe rimasto attivo ancora per mesi, portando Murphy a far presente la situazione ai giornalisti quando ha capito che il fix non era davvero efficace.
Il meccanismo era particolarmente insidioso perché non richiedeva azioni complesse. Bastava il rifiuto automatico di un’email classificata come spam, anche se il messaggio era del tutto legittimo. In quel caso, l’indirizzo reale associato all’account Apple veniva registrato nei log del sistema di posta, rendendo possibile la sua identificazione.
Il rischio resta per i messaggi inviati prima del 7 luglio
Il punto più delicato è che la correzione non cancella quanto accaduto in precedenza. Murphy ha spiegato che i log vengono spesso conservati e, di conseguenza, l’indirizzo email reale potrebbe essere ancora presente nei registri generati per i messaggi inviati prima del 7 luglio. Questo significa che, anche dopo il fix, una parte del rischio potrebbe restare per gli utenti coinvolti.
Il fatto che il problema sia stato risolto non elimina quindi del tutto le conseguenze della falla. Chi ha utilizzato Hide My Email durante il periodo interessato potrebbe non avere modo di verificare se il proprio indirizzo sia stato effettivamente esposto, soprattutto perché questi messaggi potrebbero non essere mai arrivati nella casella principale e quindi non risultare facilmente controllabili.
Possibile class action contro Apple
La vicenda ha già avuto un seguito legale. Un utente ha presentato una denuncia il 15 luglio chiedendo l’avvio di una class action contro Apple, accusando l’azienda di aver fornito agli utenti una rappresentazione ingannevole della sicurezza della funzione, di non aver comunicato in modo adeguato la vulnerabilità e di aver impiegato oltre un anno per arrivare a una correzione effettiva.
Al di là dell’eventuale evoluzione giudiziaria, il caso mette in evidenza quanto sia importante per i servizi di protezione della privacy essere affidabili non solo nelle promesse, ma anche nell’implementazione tecnica. Quando una funzione nata per nascondere i dati personali finisce per renderli rintracciabili, l’impatto sulla fiducia degli utenti può essere molto forte.
Fonte: 404 Media
