Due settimane dopo la divulgazione pubblica della vulnerabilità, Apple è già citata in tribunale. Una class action presentata il 15 luglio 2026 in California accusa l’azienda di aver venduto una protezione che non poteva garantire. Il ricorrente, Anthony Alvarez, non denuncia alcuna esfiltrazione del proprio indirizzo email reale: sostiene invece di aver pagato per un servizio difettoso, trasformando una falla tecnica in una causa da oltre 5 milioni di dollari di danni potenziali.
Il bug confermato: tutto parte dalla segnalazione di Tyler Murphy
La vulnerabilità nel sistema Hide My Email, scoperta dal ricercatore Tyler Murphy a giugno 2025, permetterebbe di risalire all’indirizzo email reale di un utente a partire da un alias. Apple ha riconosciuto il problema un mese dopo, ma la correzione annunciata a marzo 2026 – una modifica al sistema – si è rivelata inefficace: Murphy ha verificato che il bug restava sfruttabile. Il ricercatore ha dichiarato: “We don’t know why it hasn’t been fixed, but we don’t feel comfortable waiting any longer.”
La rivista 404 Media ha confermato indipendentemente il 29 giugno 2026 che un alias Hide My Email poteva essere collegato all’account reale, e il 1° luglio la falla è diventata pubblica. Non esistono casi noti di sfruttamento malevolo, ma la mancata correzione dopo oltre un anno pesa sulla credibilità del servizio.
La class action: chi può aderire e cosa viene chiesto
La causa chiede al tribunale di certificare quattro gruppi di utenti:
- una classe nazionale di clienti Apple che hanno acquistato un dispositivo e usato Hide My Email;
- una sottoclasse californiana dello stesso gruppo;
- una classe nazionale di abbonati iCloud+ che hanno utilizzato la funzione;
- una sottoclasse californiana degli abbonati iCloud+.
Alvarez afferma di aver comprato un iPhone e attivato un piano iCloud+ da 200 GB il 15 marzo 2025 e di non avrebbe speso altrettanto se avesse saputo che Hide My Email poteva fallire. Il danno rivendicato è esclusivamente finanziario, senza alcuna violazione concreta della propria casella email. La richiesta supera i 5 milioni di dollari, ma la denuncia non spiega come sia stata calcolata la cifra.
Un precedente del 2023 e la tesi del “danno da fiducia”
La class action non si limita al bug attuale: cita un rapporto del 2023 che mostrava come la funzione MAC address randomizzato di Apple potesse esporre gli identificatori hardware reali. L’obiettivo è dipingere un pattern di promesse privacy non mantenute, anche se nemmeno in quel caso furono documentati attacchi.
AppleInsider osserva che la richiesta di attribuire una parte del prezzo di iPhone e Mac alla funzione Hide My Email è “ambiziosa” e poco definita, mentre la teoria del sovrapprezzo per i soli abbonati iCloud+ appare più lineare. La velocità con cui la causa è stata depositata – appena 14 giorni dopo la pubblicazione della vulnerabilità – la fa somigliare, secondo la stessa testata, a una corsa all’accaparramento legale più che a una reazione a un danno subito.
Cosa cambia per chi usa Hide My Email
Anche senza attacchi accertati, il bug mina la promessa centrale del servizio: nascondere completamente il proprio indirizzo. Apple ha detto di voler rilasciare una correzione definitiva in un futuro aggiornamento di sicurezza, ma finora non l’ha distribuita. Chi utilizza Hide My Email per registrazioni sensibili dovrebbe considerare che il collegamento all’account reale resta tecnicamente possibile, sebbene non sia mai stato sfruttato pubblicamente. Il vero costo immediato, per ora, è la perdita di fiducia nella protezione dei dati, proprio su un terreno su cui Apple ha costruito buona parte del proprio posizionamento premium.
La class action Hide My Email è l’ennesimo banco di prova per una promessa di privacy trasformata in prodotto. Anche se il risarcimento finanziario appare fragile, il danno reputazionale per Apple è già iniziato – e la falla resta aperta.
Fonti
- Apple faces Hide My Email lawsuit
- Apple Sued Over Reported 'Hide My Email' Flaw
- Appleinsider.com
- 9to5mac.com
