Apple corregge una falla di Hide My Email che poteva rivelare gli indirizzi reali degli utenti

Apple ha corretto una vulnerabilità nel servizio Hide My Email che poteva esporre, nei registri di trasferimento della posta, l’indirizzo email personale associato a un alias per la privacy.

Il problema, segnalato da 404 Media, è stato comunicato ad Apple il 13 giugno 2025 da Tyler Murphy, cofondatore del servizio di opt-out EasyOptOuts. Secondo quanto riportato, Apple ha distribuito una correzione il 3 luglio 2026, dopo che precedenti tentativi di risoluzione, effettuati a marzo e il 30 giugno, non avevano avuto successo.

Come avveniva l’esposizione

Hide My Email, disponibile per gli abbonati a iCloud+, crea indirizzi casuali per l’inoltro, consentendo agli utenti di comunicare senza rivelare il proprio indirizzo email principale. I messaggi inviati a un alias vengono inoltrati alla casella di posta abituale dell’utente.

I ricercatori hanno affermato che la falla poteva essere attivata quando un messaggio inviato a un alias preso di mira veniva rifiutato come spam. In determinate circostanze, il processo di rifiuto faceva comparire nei registri di posta gestiti dai provider l’indirizzo email sottostante del destinatario. Il messaggio non doveva necessariamente raggiungere la casella di posta dell’utente; pertanto, le persone interessate potevano non avere alcun modo pratico per rilevare l’esposizione controllando la propria posta.

Murphy e Ben Weiner, cofondatore di EasyOptOuts, hanno dichiarato a 404 Media che non è noto il numero di indirizzi potenzialmente registrati nei log. Hanno inoltre affermato che il problema interessava diversi importanti provider di posta elettronica, sebbene le condizioni precise potessero variare da un servizio all’altro.

Potenziale esposizione storica

Sebbene il problema tecnico sia stato risolto, gli indirizzi collegati agli alias Hide My Email creati prima del 7 luglio 2026 potrebbero essere stati registrati nei log di trasferimento della posta quando messaggi legittimi venivano rifiutati o respinti. Apple non ha indicato quanti utenti potrebbero essere stati interessati.

La divulgazione arriva mentre Apple deve affrontare una proposta di azione collettiva che sostiene che l’azienda abbia sopravvalutato le protezioni della privacy di Hide My Email, chiedendo al contempo un pagamento per l’accesso tramite iCloud+. La denuncia afferma che Apple era a conoscenza della falla da oltre un anno, ma non ha sospeso il servizio, informato i clienti né modificato le proprie dichiarazioni sulla privacy.

Gli utenti che si affidano a Hide My Email dovrebbero continuare a utilizzare il software aggiornato del servizio e, ove possibile, verificare l’attività dell’account, tenendo presente che i log storici dei provider potrebbero non essere recuperabili o visibili ai clienti.