La promessa di Hide My Email era semplice: generare indirizzi anonimi che inoltrano la posta alla tua casella reale senza mai esporla. Per oltre un anno, quella promessa è stata rotta. Apple ha dichiarato di aver risolto la vulnerabilità il 3 luglio 2026, ma test indipendenti condotti da AppleInsider il 17 luglio hanno riprodotto il problema, sollevando dubbi sulla reale efficacia della correzione iniziale. Oggi, 22 luglio, il bug sembra effettivamente neutralizzato. Resta però un'eredità scomoda: gli indirizzi creati prima del 7 luglio potrebbero essere già finiti in log di terze parti, al di fuori di qualsiasi controllo.
Come funzionava la falla di Hide My Email
Il meccanismo era sorprendentemente semplice, quasi a bassa tecnologia. Quando un mittente inviava un'email a un alias Hide My Email e il messaggio veniva respinto come spam, i log di rimbalzo contenevano l'indirizzo reale dell'utente iCloud. Non servivano exploit complessi: bastava possedere l'alias e provocare un rifiuto automatico del messaggio.
Tyler Murphy, co-fondatore di EasyOptOuts, ha scoperto la vulnerabilità a giugno 2025 e l'ha segnalata immediatamente ad Apple. Insieme al co-fondatore Ben Weiner, ha documentato il bug per mesi, scambiando rapporti e risultati di test con l'azienda. «Per molti grandi provider di posta, la fuga veniva innescata semplicemente dal rifiuto automatico di un'email come spam, anche se si trattava di un messaggio legittimo», hanno spiegato Murphy e Weiner. «Queste email probabilmente non arrivavano nella tua casella di posta, quindi non puoi controllare la cartella spam per sapere se sei stato colpito».
La gravità pratica era limitata ma reale: un malintenzionato doveva già conoscere l'alias specifico da attaccare, e ogni indirizzo andava preso di mira individualmente. Non c'è evidenza pubblica di campagne di sfruttamento coordinate. Il danno dimostrato era la perdita della protezione della privacy per quell'alias, con la possibilità di collegare l'indirizzo permanente a informazioni già pubbliche o trapelate.
Una timeline di promesse e patch fallite
La cronologia dei tentativi di riparazione rivela un processo accidentato:
- Giugno 2025: Tyler Murphy segnala la vulnerabilità ad Apple.
- Marzo 2026: Apple dichiara per la prima volta di aver corretto il bug. Murphy e Weiner lo riproducono con successo.
- 30 giugno 2026: Apple afferma nuovamente che la falla è risolta. I ricercatori la replicano ancora.
- 1 luglio 2026: 404 Media pubblica il primo report sulla vulnerabilità, senza divulgare istruzioni tecniche.
- 3 luglio 2026: Apple comunica a 404 Media di aver distribuito una patch che «ha completamente risolto il problema».
- 17 luglio 2026: AppleInsider riesce a riprodurre la falla, dimostrando che la correzione non era ancora universale.
Apple non ha chiarito se il 3 luglio segnasse l'inizio o la fine del rollout della patch, né ha spiegato perché il test di AppleInsider due settimane dopo abbia avuto successo. Murphy e Weiner confermano che oggi il bug è effettivamente risolto. La domanda senza risposta è: per quanti utenti e provider la vulnerabilità è rimasta attiva in quella finestra di due settimane?
Il bug era ancora attivo il 17 luglio 2026
Il test di AppleInsider è dirimente. La redazione ha seguito la procedura per esporre l'indirizzo reale dietro un alias e l'ha riprodotta con successo il 17 luglio, quattordici giorni dopo la data indicata da Apple come risolutiva. Il processo richiedeva pochissime competenze tecniche una volta in possesso dell'alias. AppleInsider ha scelto di non pubblicare le istruzioni mentre la vulnerabilità era ancora sfruttabile.
Il dato non prova che il bug fosse attivo per tutti gli utenti o per tutti i provider di posta. Dimostra però che il 3 luglio non può essere considerato un punto finale definitivo senza ulteriori spiegazioni da Apple. L'azienda non ha ancora commentato la discrepanza.
Cosa rischiano oggi gli utenti iCloud+
La patch attuale chiude la falla per il futuro, ma non cancella i danni potenzialmente già avvenuti. Murphy e Weiner sono stati chiari: «Qualsiasi indirizzo email nascosto collegato a un alias Hide My Email creato prima del 7 luglio 2026 potrebbe essere stato esposto e potrebbe trovarsi ancora in log di terze parti». Il problema non è teorico: i log di trasferimento della posta vengono spesso conservati, e un indirizzo reale finito in quei registri non può essere recuperato né cancellato dall'utente.
EasyOptOuts raccomanda di trattare gli indirizzi reali associati ad alias più vecchi come potenzialmente compromessi. Eliminare un alias adesso non cancella le informazioni già trattenute nei log di un provider esterno.
La vulnerabilità ha già prodotto conseguenze legali. Una class action è stata depositata a nome degli abbonati iCloud+ per ottenere il rimborso delle quote di abbonamento e altri risarcimenti. La causa sostiene che Apple abbia violato le leggi sulla pubblicità ingannevole della California, vendendo una funzione che non offriva la protezione promessa. Il ricorrente principale non sostiene che il proprio indirizzo sia stato effettivamente esposto o sfruttato: il cuore della contestazione è il pagamento per un servizio che non ha funzionato come pubblicizzato.
Quanto conta la fiducia nei servizi privacy di Apple
Hide My Email è un tassello di una strategia più ampia con cui Apple vende la privacy come vantaggio competitivo. iCloud+, Apple One, le etichette sulla privacy dell'App Store: tutto comunica che l'azienda protegge i dati degli utenti meglio dei concorrenti. Una falla che persiste per oltre tredici mesi dopo la prima segnalazione — con due false riparazioni intermedie e una terza patch dal rollout incerto — incrina questa narrazione.
Il bug non esponeva password, non sbloccava account Apple, non concedeva accesso alle caselle di posta. Era circoscritto. Ma toccava esattamente la promessa centrale della funzione: nascondere l'indirizzo reale. Se un utente pagante scopre che per più di un anno qualsiasi mittente in possesso del suo alias poteva risalire alla sua identità email, il danno reputazionale per Apple è già prodotto, indipendentemente dal fatto che lo sfruttamento su larga scala non sia stato documentato.
La timeline racconta anche di un processo di gestione delle vulnerabilità che ha richiesto l'intervento della stampa per sbloccarsi. Murphy ha contattato 404 Media solo dopo aver perso fiducia nella volontà di Apple di risolvere il problema. Senza la pubblicazione del 1 luglio, non sappiamo se oggi la falla sarebbe ancora aperta.
