A Apple corrigiu uma vulnerabilidade no recurso Hide My Email do iCloud+ que permitia que endereços de e-mail ocultos fossem facilmente acessados, de acordo com um relatório da 404 Media. A publicação divulgou o problema pela primeira vez no início de julho e observou que a Apple já estava ciente disso há pelo menos um ano. O recurso Hide My Email foi introduzido pela Apple em 2021 para criar endereços de e-mail fictícios para maior privacidade.
A Apple afirmou que um patch de software foi implantado em 3 de julho, resolvendo a vulnerabilidade com sucesso. Antes do patch, os endereços de e-mail ocultos dos usuários podiam ser revelados enviando mensagens para o endereço obscuro que foram marcados como spam. Tyler Murphy, cofundador da EasyOptOuts, que inicialmente relatou a vulnerabilidade, expressou preocupação com a permanência de riscos para os usuários.
Murphy disse: “O bug que fazia com que o Hide My Email da Apple vazasse endereços de e-mail ocultos para os remetentes foi corrigido. No entanto, não achamos que o risco para os usuários do Hide My Email tenha sido eliminado.” Ele destacou que e-mails não maliciosos ainda podem revelar endereços ocultos e observou que os logs de transferência de e-mail são frequentemente retidos, sugerindo que endereços criados antes de 7 de julho de 2026 podem ser expostos em logs de terceiros.
Murphy alertou a Apple sobre a falha pela primeira vez em junho de 2025. Após vários meses de investigação da Apple, ele continuou a encontrar casos de exposição de endereços de e-mail ocultos. Seguindo a promessa da Apple de resolver o problema, mas sem uma resolução satisfatória, Murphy contatou a 404 Media para divulgar suas descobertas.
A vulnerabilidade ameaça minar a imagem pública da Apple, que está fortemente centrada em compromissos de privacidade. Além disso, PCMag informou que a Apple agora enfrenta uma proposta de ação coletiva relacionada à vulnerabilidade Hide My Email. A ação busca uma liminar contra o que chama de conduta enganosa da Apple e uma recuperação total das taxas de assinatura pagas pelo recurso.
