Apple ha corretto una vulnerabilità di Hide My Email, il servizio incluso in iCloud+ che genera indirizzi email fittizi per proteggere quello reale. La falla consentiva di aggirare con relativa facilità la funzione di mascheramento e visualizzare proprio l’informazione che il sistema avrebbe dovuto mantenere nascosta. Apple ha dichiarato di aver distribuito il 3 luglio una patch software capace di risolvere completamente il problema.
Prima dell’intervento, l’indirizzo associato a un account iCloud+ poteva essere rivelato inviando un messaggio all’alias creato dal servizio e facendo in modo che venisse respinto come spam. Il messaggio di mancata consegna poteva così esporre l’email nascosta al mittente. Dopo l’applicazione della patch, questa procedura non dovrebbe più permettere di ottenere l’indirizzo originale.
Hide My Email era stato introdotto nel 2021 come strumento aggiuntivo per la tutela della privacy. La funzione permette agli utenti di utilizzare indirizzi casuali nelle registrazioni online e nelle comunicazioni, inoltrando poi i messaggi alla casella personale. L’obiettivo è evitare che siti, servizi digitali e altri interlocutori conoscano direttamente l’indirizzo principale, riducendone la circolazione e l’esposizione.
La correzione non chiude però ogni interrogativo sui dati precedentemente transitati attraverso il sistema. Tyler Murphy, cofondatore di EasyOptOuts e primo a segnalare il problema, ritiene che il rischio per gli utenti non sia stato eliminato del tutto. Anche messaggi non dannosi potevano infatti generare un rimbalzo e rivelare l’indirizzo nascosto, mentre i registri dei sistemi di trasferimento della posta vengono spesso conservati.
Secondo Murphy, gli indirizzi reali collegati ad alias Hide My Email creati prima del 7 luglio 2026 potrebbero quindi essere già stati esposti e trovarsi ancora all’interno di log di terze parti. Si tratta di una valutazione prudenziale, non della conferma che tutte le caselle interessate siano state effettivamente compromesse. Il punto riguarda piuttosto la persistenza delle informazioni eventualmente registrate prima che la vulnerabilità venisse neutralizzata.
La vicenda ha avuto uno sviluppo prolungato. Murphy aveva comunicato il difetto ad Apple nel giugno 2025. Nei mesi successivi l’azienda aveva analizzato la vulnerabilità e sostenuto di averla corretta, ma il ricercatore era ancora riuscito a individuare indirizzi email nascosti. Apple aveva quindi avviato un nuovo esame del problema, arrivando infine alla distribuzione della patch definitiva.
Per Apple, l’episodio tocca direttamente uno degli elementi centrali della propria immagine pubblica: la protezione della privacy. Hide My Email non è soltanto una funzione tecnica, ma un servizio destinato agli abbonati e presentato come barriera contro la diffusione degli identificativi personali. Una vulnerabilità capace di invertire questo meccanismo mette sotto pressione sia l’affidabilità del prodotto sia la gestione delle segnalazioni ricevute dai ricercatori.
La società deve inoltre confrontarsi con una proposta di class action legata alla vulnerabilità. L’azione chiede un’ingiunzione contro quella che viene definita una condotta ingannevole e il recupero integrale delle quote di abbonamento pagate dai clienti per la funzione. La patch interrompe il metodo di esposizione noto, ma la fase successiva riguarda le possibili tracce lasciate nei sistemi esterni e le conseguenze legali di una protezione che, per un periodo non ancora quantificato, non ha funzionato come previsto.