Hide My Email от Apple больше года раскрывал настоящие адреса пользователей

Apple больше года знает, что её почтовый «плащ-невидимка» протекает

Hide My Email должен выдавать сайту одноразовый алиас @icloud.com, чтобы тот никогда не видел настоящий адрес. Со-основатели EasyOptOuts говорят, что нашли две отдельные уязвимости: посторонний мог превратить этот алиас обратно в настоящий адрес iCloud. Первую они передали Apple в июне 2025 года.

Вся суть в хронологии раскрытия. Apple заявила, что закрыла проблемы в марте 2026 года; исследователи воспроизвели утечку через несколько дней. Apple снова отчиталась об исправлении 30 июня 2026 года; исследователи говорят, что дыра по-прежнему работает. Механику они придерживают намеренно:

«Чтобы защитить приватность пользователей Hide My Email, мы не будем обсуждать или раскрывать детали эксплойтов, пока их не исправят». — разбор от EasyOptOuts

Тред попытался заполнить пробел

Раз механику не опубликовали, комментаторы восстановили её сами:

«отправляете письмо с огромным вложением на адрес hide my email… в ответ приходит письмо (уже с настоящего адреса) с отклонённым сообщением». — комментатор с непроверенной, но конкретной догадкой

Тот, кто сам управляет почтовой инфраструктурой, сказал, что вялая реакция вписывается в закономерность:

«Они будто не знают и не хотят знать, что происходит с их собственными почтовыми системами». — директор по инженерии в компании email-безопасности

Не все были уверены, что дыра реальна:

«Мне трудно оценить, насколько реален этот риск. Без деталей мы просто экстраполируем из косвенных ощущений». — комментатор, призывающий к осторожности без технических деталей

Обиднее всего то, кто оказывается под ударом: за Hide My Email тянутся как раз на тех аккаунтах, где настоящий адрес, часто сам Apple ID, утекать должен меньше всего.