Компания Apple столкнулась с критической ошибкой в работе функции Hide My Email («Скрыть e-mail»), которая позволяет злоумышленникам узнавать настоящие электронные адреса пользователей. Об этом сообщил сооснователь сервиса Easy Opt Out Тайлер Мерфи в интервью изданию 404 Media.
Проблема безопасности в iCloud+
Hide My Email является частью платной подписки iCloud+, стоимость которой начинается от 1 доллара в месяц. Сервис позволяет генерировать анонимные почтовые адреса на домене icloud.com для защиты конфиденциальности при регистрации на сторонних сайтах и в приложениях. По задумке разработчиков, если база данных стороннего ресурса будет взломана, настоящий адрес пользователя останется в секрете, так как он скрыт за псевдонимом.
По словам Мерфи, Apple осведомлена о наличии проблемы более года, однако эффективное исправление до сих пор не выпущено. В ходе проведенного тестирования с участием добровольцев специалистам удалось раскрыть реальные адреса во всех 100% случаев. Для деанонимизации использовались базовые инструменты поиска данных, доступные любому пользователю интернета. Подробности метода не разглашаются, чтобы не способствовать массовым атакам, пока уязвимость остается активной.
Хронология взаимодействия с Apple
Исследователь предоставил данные о ходе общения с технологическим гигантом:
- В июне 2025 года Мерфи впервые официально уведомил Apple об обнаруженной бреши.
- В марте 2026 года компания отчиталась об устранении ошибки, однако независимая проверка показала, что уязвимость по-прежнему существует.
- В мае 2026 года Apple попросила эксперта не предавать ситуацию огласке до завершения внутреннего расследования, чтобы не подвергать клиентов риску.
Несмотря на просьбы компании, Мерфи принял решение обнародовать информацию, так как пользователи продолжают пользоваться небезопасным инструментом, полагая, что их данные защищены.
Предстоящие изменения и риски
В ближайшие месяцы Apple планирует внести изменения в работу сервиса. Одним из нововведений станет смена домена для анонимных адресов с «icloud.com» на «private.icloud.com». В обзоре ситуации отмечается, что причины такого перехода официально не объясняются.
Эксперты предупреждают, что подобное изменение может иметь негативные последствия. Специализированный домен «private» легче идентифицировать, что позволит веб-сайтам автоматически блокировать такие адреса при регистрации. В результате пользователи будут вынуждены указывать свои настоящие e-mail, что значительно снизит ценность и полезность функции Hide My Email. Официальный представитель Apple на текущий момент не предоставил комментариев по поводу обнаруженной уязвимости.