La funzione Hide My Email inclusa in iCloud+ è finita al centro di una segnalazione di sicurezza che mette in discussione uno degli strumenti privacy più noti dell’ecosistema Apple.
Il punto più delicato è che il problema sarebbe stato segnalato ad Apple già a giugno 2025, ma non risulta ancora risolto in modo definitivo. Per chi usa questo sistema per separare identità digitale, iscrizioni e comunicazioni sensibili, il rischio concreto è la perdita dell’anonimato.
Come funziona la falla che colpisce Hide My Email di Apple
Hide My Email permette agli abbonati iCloud+ di creare indirizzi casuali con dominio @icloud. com oppure @privaterelay. appleid. com, inoltrando poi i messaggi verso la casella email reale dell’utente. L’obiettivo è semplice: evitare tracciamento, spam e raccolta diretta dell’indirizzo principale durante registrazioni o contatti online.
Il problema emerso riguarda proprio questo meccanismo di anonimizzazione. Il cofondatore di EasyOptOuts, Tyler Murphy, avrebbe dimostrato che un indirizzo generato in modo casuale può essere ricondotto all’email reale associata all’Apple ID. In una prova pratica, un nuovo indirizzo nascosto creato per il test è stato associato all’identità reale in circa cinque minuti.
Il dato che pesa di più è la ripetibilità del metodo: nelle verifiche riportate, ogni indirizzo analizzato sarebbe stato ricostruito correttamente, con successo totale nel campione testato. Non è stato invece reso pubblico il metodo tecnico di sfruttamento, quindi non è possibile stabilire quanto sia semplice replicarlo su larga scala o se sia già stato usato da altri soggetti.
- La funzione è riservata agli utenti iCloud+.
- Gli alias generati usano domini @icloud.com o @privaterelay.appleid.com.
- L’email ricevuta sull’alias viene inoltrata alla casella reale dell’utente.
- Nel test riportato, la ricostruzione dell’indirizzo reale è avvenuta con successo nel 100% dei casi esaminati.
La correzione tarda ad arrivare e cresce il rischio per gli utenti più esposti
La vulnerabilità sarebbe stata comunicata al team sicurezza Apple nel giugno 2025. A marzo 2026, un riscontro del supporto indicava una correzione applicata lato server, ma verifiche indipendenti avrebbero mostrato che il problema era ancora presente.
Successivamente, a maggio 2026, il team tecnico avrebbe chiesto ai ricercatori di non divulgare pubblicamente i dettagli durante le ulteriori indagini, con la promessa di una patch nelle settimane successive. Di fronte ai ritardi, i ricercatori hanno scelto di rendere pubblica la questione ritenendo necessario avvisare gli utenti del possibile rischio di esposizione.
L’impatto più serio riguarda chi usa indirizzi anonimi come misura di protezione personale. Se un alias può essere ricondotto all’identità reale, diventa più semplice collegare email, numero di telefono, indirizzo di casa o altri dati reperibili tramite servizi di ricerca persone e database pubblici.
- Prima segnalazione ad Apple: giugno 2025.
- Indicazione di fix lato server: marzo 2026.
- Richiesta di riservatezza durante le indagini: maggio 2026.
- Le categorie più esposte sono utenti che fanno affidamento sull’anonimato per attività sensibili.
Perché questa notizia pesa più di una normale vulnerabilità email
Apple ha costruito una parte importante della propria immagine attorno alla tutela della privacy, e Hide My Email è uno dei servizi più facili da capire e da usare anche per utenti non esperti. Proprio per questo una falla di questo tipo ha un peso superiore alla media: colpisce una funzione che viene scelta esplicitamente per nascondere un dato personale molto sensibile.
Non è la prima volta che alcuni strumenti presentati come barriere alla raccolta dati vengono contestati per efficacia reale. In questo caso, però, il nodo è particolarmente concreto perché tocca l’indirizzo email principale, spesso usato come chiave di accesso a servizi, recupero credenziali e profili personali.
In attesa di un intervento definitivo, chi usa Hide My Email per compartimentare attività importanti farebbe bene a considerare l’alias come una schermatura utile contro spam e registrazioni ordinarie, ma non come una garanzia assoluta di anonimato in scenari ad alto rischio.
- L’indirizzo email principale resta uno dei dati più importanti da proteggere.
- La funzione continua a essere utile contro spam e profilazione di base.
- Il punto critico è l’uso in contesti dove l’anonimato è essenziale.
