Funkcja Hide My Email od Apple ujawnia adresy email. Od roku tego nie naprawili

Apple od lat przekonuje, że prywatność stanowi jeden z filarów jego ekosystemu. Jednym z narzędzi mających chronić użytkowników jest funkcja „Ukryj mój adres e-mail” (Hide My Email), która pozwala tworzyć losowe adresy wykorzystywane podczas rejestracji w serwisach internetowych i aplikacjach. Teraz pojawiły się jednak informacje, które mogą zaniepokoić miliony właścicieli urządzeń z logo nadgryzionego jabłka.

Badacz bezpieczeństwa twierdzi, że odkrył lukę pozwalającą ujawnić prawdziwy adres e-mail użytkownika korzystającego z tej funkcji. Co więcej, problem miał zostać zgłoszony Apple ponad rok temu i do dziś nie został całkowicie wyeliminowany.

Funkcja miała chronić prywatność użytkowników

Hide My Email należy do zestawu rozwiązań prywatności dostępnych w ekosystemie Apple. Mechanizm generuje losowy adres e-mail, który przekazuje wiadomości do właściwej skrzynki odbiorczej właściciela konta. Dzięki temu użytkownik może zakładać konta w sklepach internetowych, aplikacjach czy serwisach społecznościowych bez ujawniania swojego prawdziwego adresu e-mail. W razie potrzeby taki adres można wyłączyć, ograniczając napływ niechcianych wiadomości.

To rozwiązanie od początku było przedstawiane jako skuteczny sposób ochrony danych osobowych.

„Użytkownicy Hide My Email powinni wiedzieć, że atakujący mogą odkryć ich ukryte adresy e-mail” – powiedział Murphy w wywiadzie dla serwisu 404.

Badacz twierdzi, że znalazł sposób na obejście zabezpieczeń

Autorem zgłoszenia jest Tyler Murphy, współzałożyciel firmy EasyOptOuts. Według jego relacji luka pozwala ustalić prawdziwy adres e-mail ukrywający się za wygenerowanym aliasem. Szczegóły techniczne nie zostały ujawnione. Serwis 404 Media poinformował, że potwierdził istnienie problemu, jednak zrezygnował z publikowania sposobu jego wykorzystania, ponieważ podatność nadal może występować.

Murphy podkreślił, że użytkownicy korzystający z Hide My Email powinni mieć świadomość, iż ich prawdziwy adres e-mail może zostać odkryty przez osoby wykorzystujące tę lukę.

Apple miało naprawić problem

Według informacji przekazanych przez badacza pierwsze zgłoszenie trafiło do Apple już w czerwcu 2025 roku. Firma rozpoczęła analizę problemu, a kilka miesięcy później poinformowała, że przygotowuje poprawkę. W marcu 2026 roku Apple przekazało, że aktualizacja systemu usuwa zgłoszoną podatność.

Murphy twierdzi jednak, że po przeprowadzeniu kolejnych testów odkrył, iż luka nadal działa. Według jego relacji Apple kontynuowało analizę problemu jeszcze przez kolejne miesiące, prosząc jednocześnie o wstrzymanie się z publicznym ujawnieniem szczegółów do zakończenia wewnętrznego dochodzenia.

Na razie firma nie opublikowała informacji o całkowitym usunięciu podatności.

Nadchodzą kolejne zmiany w Hide My Email

Jednocześnie Apple przygotowuje modyfikację sposobu działania usługi.

Według wcześniejszych informacji adresy wykorzystywane przez Hide My Email oraz funkcję „Zaloguj się przez Apple” mają zostać ujednolicone i przeniesione do nowej domeny @private.icloud.com. Zmiana ma uporządkować działanie całego systemu aliasów, jednak część ekspertów zwraca uwagę na możliwe skutki uboczne. Niektóre serwisy internetowe mogą zacząć blokować wiadomości pochodzące z tej domeny lub traktować je jako tymczasowe adresy e-mail.

Jeżeli taki scenariusz się sprawdzi, korzystanie z funkcji może stać się mniej wygodne podczas zakładania nowych kont.

Prywatność pozostaje jednym z najważniejszych argumentów Apple

Ochrona danych osobowych od lat stanowi jeden z głównych elementów strategii marketingowej Apple. Firma regularnie podkreśla przewagę swoich rozwiązań nad konkurencyjnymi platformami, prezentując kolejne funkcje ograniczające śledzenie użytkowników i zabezpieczające ich dane.

Dlatego informacje o możliwej luce w jednym z najważniejszych mechanizmów ochrony prywatności budzą duże zainteresowanie. Na razie nie wiadomo, ilu użytkowników mogło być narażonych na wykorzystanie tej podatności ani kiedy Apple udostępni poprawkę całkowicie eliminującą problem.

Do czasu wydania oficjalnej aktualizacji osoby korzystające z Hide My Email powinny pamiętać, że według autora zgłoszenia funkcja może nie zapewniać pełnej anonimowości, do której została stworzona.