Una vulnerabilità di WebKit ha permesso a qualsiasi sito di aggirare la protezione di iCloud Private Relay ed esporre l’indirizzo IP reale degli utenti. La falla è stata documentata dai ricercatori il 4 agosto 2026. Due giorni dopo, il 6 agosto, la Clarkson Law Firm – la stessa che a dicembre 2025 ha strappato ad Apple un accordo da 250 milioni di dollari per il ritardo delle funzioni IA di Siri – ha depositato una class action per frode, false dichiarazioni e pubblicità ingannevole. Il cuore dell’accusa: Apple ha venduto la privacy come prodotto premium, ma la protezione promessa non ha mai funzionato come dichiarato.
La falla tecnica: passkey, DNS prefetching e WebTransport
La ricerca pubblicata il 4 agosto ha individuato tre canali attraverso cui iCloud Private Relay perdeva l’IP dell’utente, tutti legati a WebKit, il motore di rendering che Apple impone a ogni browser su iOS. Il più grave riguarda i passkey: se un sito dichiara di supportarli, il sistema operativo gestisce la richiesta fuori dal browser, scavalcando del tutto i server proxy di Private Relay. Non serve che il sito usi davvero i passkey: basta fingerlo.
Qui le fonti divergono su un dettaglio che cambia la percezione del rischio. Mentre le altre testate descrivono genericamente l’aggiramento, MacRumors precisa che la richiesta passkey può avvenire senza mostrare alcun prompt all’utente. Se confermato, questo significa che l’esposizione dell’IP sarebbe stata invisibile: nessun popup, nessuna richiesta di autenticazione, rendendo impossibile per l’abbonato accorgersi della perdita di privacy in tempo reale. Due ulteriori problemi coinvolgono il DNS prefetching e il protocollo WebTransport, entrambi introdotti con iOS 26, che possono risolvere hostname o aprire connessioni HTTP/3 dirette, aggirando il relay e rivelando dati di navigazione.
Clarkson Law Firm: dal caso Siri AI a iCloud Private Relay
La class action è stata presentata presso la corte distrettuale della California del Nord. L’identità del querelante, Edward Rickman, residente nello stato, è riportata esplicitamente soltanto da una delle fonti che hanno seguito il caso, mentre le altre si limitano a citare l’azione collettiva. A patrocinare la causa è la Clarkson Law Firm, lo stesso studio legale che ha concluso un accordo da 250 milioni di dollari con Apple per il lancio ritardato delle funzionalità IA di Siri: l’intesa è stata raggiunta a dicembre 2025, ma i termini di pagamento sono diventati pubblici solo a maggio 2026.
Incrociando queste date emerge uno schema temporale rilevante per chi oggi segue la nuova azione. L’intervallo fra l’accordo Siri e la divulgazione dell’importo è di circa 5 mesi (da dicembre 2025 a maggio 2026). Se il caso Private Relay dovesse chiudersi con un patteggiamento, la rapidità con cui la denuncia è stata depositata – appena 2 giorni dopo la pubblicazione della ricerca – suggerisce che i legali spingano per una conclusione rapida, ma l’esperienza Siri avverte che i dettagli finanziari potrebbero restare opachi per mesi, lasciando abbonati e mercato in attesa.
Tim Giordano, partner di Clarkson, ha dichiarato: “Apple ha costruito il suo intero marchio sulla promessa di proteggere la privacy degli utenti quando nessun’altra azienda lo faceva. Scoprire ora che per anni gli abbonati iCloud hanno pagato un sovrapprezzo per una protezione che semplicemente non funzionava, esponendoli proprio al tracciamento e alla profilazione da cui Apple li metteva in guardia, è un oltraggio e un tradimento della fiducia dei consumatori e della legge.”
Cosa rischiano gli abbonati iCloud+ e perché il precedente Siri conta
La denuncia sostiene che Apple sapeva, o avrebbe dovuto sapere, che le affermazioni sulla privacy di Private Relay erano false già al momento della vendita degli abbonamenti. Chi ha pagato iCloud+ per avere la protezione dell’IP in Safari potrebbe quindi aver versato un sovrapprezzo per una funzione inefficace. L’azione legale chiede un risarcimento per tutti gli abbonati coinvolti.
La concreta implicazione per l’utente finale va oltre il danno economico. Il particolare emerso solo da una fonte – la possibilità che la falla passkey agisse senza alcun prompt visibile – rende il mancato funzionamento di Private Relay non solo una violazione tecnica, ma una perdita di controllo del tutto nascosta. L’abbonato che credeva di navigare protetto non aveva alcuno strumento per accorgersi che il proprio IP veniva esposto, aumentando il rischio di profilazione e tracciamento contro cui Apple aveva costruito le proprie campagne. Questo trasforma la class action in un banco di prova per le promesse di privacy commercializzate come prodotto a pagamento.
Il modus operandi della Clarkson Law Firm non è una novità isolata. L’accordo da 250 milioni per Siri AI dimostra che Apple può scegliere di patteggiare quando le promesse di marketing non trovano riscontro nei fatti tecnici. Questa volta il bersaglio è la privacy, il pilastro su cui l’azienda ha costruito campagne pubblicitarie e dichiarazioni pubbliche per anni. Se il tribunale certificherà la class action, il prossimo passo sarà quantificare il danno per gli abbonati. Al momento Apple non ha rilasciato commenti. Ma il precedente Siri mostra che quando le promesse non mantenute diventano oggetto di azione legale collettiva, il conto può arrivare a nove cifre – e che la distanza tra l’annuncio di un accordo e la trasparenza sui termini può essere di molti mesi.
