Apple ha corretto una vulnerabilità che coinvolgeva Nascondi la mia email, la funzione di iCloud+ pensata per proteggere l’indirizzo reale dell’utente dietro alias casuali. Il problema, emerso dopo un’inchiesta di 404 Media, ha mostrato come un meccanismo nato per difendere la privacy potesse, in alcuni casi, fare l’effetto opposto.
La falla era stata segnalata già nel giugno 2025 dal ricercatore di sicurezza Tyler Murphy, ma la correzione è arrivata solo dopo mesi di analisi e a ridosso della pubblicazione del report. Secondo quanto ricostruito, il difetto non richiedeva una compromissione dei server Apple: sfruttava invece il comportamento del sistema di inoltro email quando un messaggio veniva classificato come spam e rifiutato.
Nascondi la mia email e la falla scoperta da Apple
Il cuore del problema era nel modo in cui venivano gestiti alcuni messaggi respinti. In pratica, inviando un’email mirata a un alias di Nascondi la mia email e riuscendo a farla finire nello spam, l’indirizzo reale associato all’alias poteva comparire nei log di trasferimento della posta. Questo significava che il mittente, in determinate condizioni, poteva risalire all’identità effettiva dell’utente.
Le verifiche condotte da 404 Media insieme a Murphy hanno indicato che tutti gli alias testati risultavano vulnerabili, con tempi di exploit molto rapidi. Un dettaglio che rende la vicenda particolarmente delicata è il fatto che Apple, pur avendo ricevuto la prima segnalazione nel 2025, avrebbe considerato il caso ancora in fase di indagine per molti mesi, chiedendo di non divulgarlo pubblicamente per non esporre i clienti a ulteriori rischi.
Perché il rischio non è del tutto sparito
Apple ha poi rilasciato una patch il 3 luglio, descrivendola come risolutiva. Tuttavia, gli esperti avvertono che i log generati prima del 7 luglio 2026 potrebbero ancora contenere indirizzi reali esposti. In altre parole, anche se la vulnerabilità è stata chiusa, resta una possibile traccia del problema nei dati già prodotti in precedenza.
Per chi utilizza alias email, questo non significa abbandonare lo strumento, ma prestare attenzione a eventuali account o servizi collegati nel periodo interessato. Se un alias è stato usato prima della correzione, conviene valutarne la sostituzione, soprattutto in contesti sensibili o ad alto rischio di spam e phishing.
Gli alias restano utili per proteggere la privacy
La vicenda conferma comunque il valore di Nascondi la mia email nell’ecosistema Apple. Gli alias restano una soluzione efficace per separare l’indirizzo principale dalle attività online, limitare il tracciamento e contenere lo spam. Inoltre, in caso di data breach o condivisione impropria dei dati, l’utente può disattivare un alias senza dover cambiare il proprio account principale.
Il caso mostra anche quanto sia importante mantenere aggiornati i dispositivi e affidarsi alle segnalazioni dei ricercatori indipendenti. Funzioni progettate per la privacy possono nascondere comportamenti inattesi che emergono solo con test estesi e analisi approfondite. Per gli utenti, la lezione è chiara: la protezione offerta da un servizio va sempre accompagnata da prudenza e buone pratiche di sicurezza digitale.
