Apple ha finalmente risolto una vulnerabilità critica nel suo servizio Hide My Email, che per oltre un anno ha esposto gli indirizzi email reali degli utenti. La falla, portata alla luce dal sito 404 Media, è stata corretta con una patch rilasciata il 3 luglio 2026. Il problema riguardava la funzionalità integrata in iCloud+, che consente di generare indirizzi email anonimi per iscrizioni e comunicazioni online.
Una vulnerabilità ignorata per mesi nonostante le segnalazioni
La falla era stata segnalata ad Apple già nel giugno 2025 da Tyler Murphy, co-fondatore di EasyOptOuts. Dopo un iniziale riconoscimento, l'azienda aveva dichiarato di aver risolto il problema nel marzo 2026, ma la correzione si era rivelata inefficace. Solo dopo che 404 Media ha pubblicato i dettagli del bug all'inizio di luglio, Apple ha provveduto a una patch definitiva. Murphy ha dichiarato di aver contattato la testata perché non era convinto che Apple avrebbe agito altrimenti.
Sponsored Protocol
Come funzionava l'attacco e quali rischi ha corso la privacy
Il bug si attivava quando un messaggio inviato a un indirizzo Hide My Email veniva rifiutato come spam. In quel caso, l'indirizzo email reale del destinatario compariva nei log di posta elettronica del mittente, vanificando lo scopo della funzione. Secondo Murphy e Ben Weiner, anch'egli co-fondatore di EasyOptOuts, molti provider di posta attivano il rifiuto automatico per messaggi legittimi, rendendo impossibile per l'utente sapere se il proprio indirizzo reale sia stato esposto. La vulnerabilità ha permesso a chiunque di ottenere l'email reale semplicemente inviando un messaggio e facendolo respingere.
Sponsored Protocol
Sebbene Apple abbia ora corretto il bug, i log di posta elettronica antecedenti al 7 luglio 2026 potrebbero ancora contenere indirizzi reali esposti. Murphy e Weiner hanno avvertito che gli utenti che hanno utilizzato Hide My Email prima di quella data dovrebbero considerare i propri indirizzi come potenzialmente compromessi.
Una causa legale mette in discussione l'affidabilità del servizio
Nel frattempo, Apple è stata citata in giudizio per questa falla. La causa, che chiede lo status di class action, sostiene che Apple abbia violato la legge californiana sulla pubblicità ingannevole e altre normative sulla protezione dei consumatori. L'accusa sostiene che Apple fosse a conoscenza del malfunzionamento di Hide My Email ma abbia continuato a promuoverlo come sicuro.
Sponsored Protocol
Per chi utilizza iCloud+, è fondamentale aggiornare i propri dispositivi all'ultima versione di iOS e macOS per beneficiare della correzione. I rischi per la privacy restano alti, soprattutto se si sono creati indirizzi anonimi prima del 7 luglio 2026. Approfondisci la vulnerabilità iCloud+ risolta da Apple per capire meglio il contesto. Per ulteriori informazioni sul funzionamento di Hide My Email, consulta la pagina Wikipedia su iCloud+.
Fonte: https://www.macrumors.com/2026/07/21/apple-patches-hide-my-email-flaw
