Apple заявила, що усунула вразливість у функції Hide My Email сервісу iCloud+, через яку сторонні особи могли дізнатися справжню адресу електронної пошти — ту саму, яку сервіс мав приховувати. Компанія розгорнула виправлення 3 липня, однак незалежні перевірки та самі дослідники, які виявили ваду, попереджають: для тих, хто створив приховані адреси до цієї дати, ризик остаточно не зник.
Як працювала вразливість
Hide My Email («Сховати мою е-адресу») — складова платного сервісу iCloud+. Функція генерує випадкові адреси-псевдоніми на домені @icloud.com, які автоматично пересилають листи на справжню поштову скриньку. Замість того щоб залишати постійну адресу на кожному сайті чи в застосунку, користувач може створити для них окремі одноразові адреси. Вразливість дозволяла відправнику, який уже мав таку приховану адресу, зʼясувати справжню пошту за нею. За даними 404 Media, механізм був простим: достатньо було надіслати на приховану адресу лист, який поштовий сервіс відхиляв як спам, — і справжня адреса могла потрапити до журналів доставки, що поверталися відправнику. Небезпека полягала в тому, що навіть легітимні листи інколи відхиляються як спам, а отже, могли розкрити адресу непомітно для власника.
Apple знала про проблему понад рік
Співзасновник сервісу EasyOptOuts Tyler Murphy вперше повідомив Apple про ваду в червні 2025 року. Протягом наступних місяців компанія заявляла, що вивчає питання, а згодом — що усунула його, проте Murphy щоразу знову відтворював експлойт. Не маючи певності, що Apple взагалі виправить проблему, він звернувся до видання 404 Media, яке оприлюднило розслідування 1 липня — приблизно через рік після того, як компанія дізналася про вразливість. Тоді деталей експлуатації не розкривали, щоб сторонні не змогли ними скористатися. Виправлення Apple розгорнула 3 липня, невдовзі після публікації, і повідомила 404 Media, що воно повністю усуває проблему.
Ризик для старих адрес зберігається
Навіть після патча дослідники не вважають дані користувачів у цілковитій безпеці. За словами Murphy та співзасновника EasyOptOuts Ben Weiner, будь-яку приховану адресу, привʼязану до псевдоніма Hide My Email, створеного до 7 липня 2026 року, варто вважати потенційно розкритою — вона могла залишитися в журналах сторонніх поштових сервісів. Причина в тому, що журнали пересилання пошти часто зберігаються, а відхилені як спам листи могли розкрити приховану адресу ще до виправлення.
Сумніви посилило й незалежне тестування: видання AppleInsider змогло відтворити ваду 17 липня — через два тижні після заявленої Apple дати виправлення. Компанія не пояснила розбіжності в датах і не уточнила, чи розгортався патч поетапно. На момент публікації AppleInsider повідомило, що більше не може відтворити проблему.
Проти Apple подали колективний позов
Історія вже має юридичні наслідки. Мешканець Каліфорнії Anthony Alvarez подав пропозицію про колективний позов, звинувативши Apple у введенні клієнтів в оману щодо приватності Hide My Email, за яку компанія стягувала плату. Позов вимагає повного повернення абонентської плати за функцію та судової заборони «оманливої поведінки» Apple. За твердженням позивача, компанія знала про проблему понад рік, але продовжувала отримувати прибуток від сервісу та його обіцянок приватності. Apple публічно не прокоментувала ані ваду, ані позов.
Що варто зробити користувачам
Тим, хто користується Hide My Email, фахівці радять створити нові адреси-псевдоніми для сервісів, де застосовувалися адреси, згенеровані до 7 липня 2026 року. Водночас варто розуміти: видалення старого псевдоніма не стирає дані, які вже могли осісти в журналах сторонніх поштових операторів. Повністю відмовлятися від функції підстав немає — вразливість не розкривала паролі, не давала доступу до поштової скриньки й не компрометувала обліковий запис Apple. Її наслідком була втрата саме тієї приватності, заради якої користувачі й обирають Hide My Email.
