Apple heeft een kwetsbaarheid gerepareerd in de functie ‘Verberg mijn e-mail’ van iCloud+, waardoor verborgen e-mailadressen gemakkelijk toegankelijk waren, volgens een rapport van 404 Media. De publicatie maakte het probleem begin juli voor het eerst bekend en merkte op dat Apple er al minstens een jaar eerder van op de hoogte was. De functie Hide My Email werd in 2021 door Apple geïntroduceerd om dummy-e-mailadressen te maken voor meer privacy.
Apple verklaarde dat op 3 juli een softwarepatch was geïmplementeerd, waarmee de kwetsbaarheid met succes werd opgelost. Vóór de patch konden de verborgen e-mailadressen van gebruikers worden onthuld door berichten naar het verborgen adres te sturen die als spam waren gemarkeerd. Tyler Murphy, mede-oprichter van EasyOptOuts, die de kwetsbaarheid aanvankelijk meldde, uitte zijn bezorgdheid dat er risico’s voor gebruikers blijven bestaan.
Murphy zei: “De bug die ervoor zorgde dat Apple’s Hide My Email verborgen e-mailadressen naar afzenders lekte, is opgelost. We denken echter niet dat het risico voor Hide My Email-gebruikers is geëlimineerd.” Hij benadrukte dat niet-kwaadwillige e-mails nog steeds verborgen adressen kunnen onthullen en merkte op dat logboeken voor e-mailoverdracht vaak worden bewaard, wat suggereert dat adressen die vóór 7 juli 2026 zijn gemaakt, mogelijk in logboeken van derden worden weergegeven.
Murphy waarschuwde Apple voor het eerst voor de fout in juni 2025. Na enkele maanden van onderzoek door Apple bleef hij voorbeelden vinden van verborgen e-mailadressen die openbaar waren gemaakt. Na de belofte van Apple om het probleem aan te pakken, maar geen bevredigende oplossing, nam Murphy contact op met 404 Media om zijn bevindingen bekend te maken.
De kwetsbaarheid dreigt het publieke imago van Apple te ondermijnen, dat sterk gericht is op privacyverplichtingen. Bovendien meldde PCMag dat Apple nu wordt geconfronteerd met een voorgestelde class action-rechtszaak in verband met de Hide My Email-kwetsbaarheid. De rechtszaak beoogt een verbod op wat zij het misleidende gedrag van Apple noemt en een volledige terugvordering van de abonnementskosten die voor de functie zijn betaald.
