La funzione Hide My Email di Apple, pensata per proteggere l’identità digitale degli utenti, contiene una vulnerabilità che permette a un aggressore di risalire all’indirizzo email reale partendo da un alias. Il bug è stato scoperto e segnalato ad Apple nel giugno 2025, ma a oltre un anno di distanza non è ancora stato risolto. A rivelarlo è Tyler Murphy, co-fondatore di EasyOptOuts, che dopo oltre un anno di attesa ha deciso di rendere pubblica l’esistenza del problema.
La gravità della falla è netta: nei test condotti con volontari, il 100% degli indirizzi Hide My Email si è rivelato sfruttabile. Chiunque faccia affidamento su questo strumento per tenere nascosto il proprio indirizzo iCloud reale — per esempio per sfuggire a spam, data broker o situazioni di rischio personale — potrebbe essere stato esposto senza saperlo.
Cosa permette di fare esattamente questa vulnerabilità?
La vulnerabilità consente a un attaccante di ottenere l’indirizzo email reale associato a un alias generato con Hide My Email. 404 Media, che ha verificato il bug in prima persona, ha creato un nuovo indirizzo fittizio e lo ha fornito a Murphy: nel giro di cinque minuti il ricercatore ha restituito l’email iCloud privata corrispondente.
Né Murphy né 404 Media hanno reso noti i dettagli tecnici della falla, proprio perché la vulnerabilità resta attiva e sfruttabile. La scelta di non divulgare i particolari è una prassi standard nella divulgazione responsabile quando il vendor non ha ancora distribuito una patch.
Murphy ha riassunto così la sua decisione di uscire allo scoperto:
"Apple Hide My Email is leaking email addresses that are supposed to be hidden. We reported the issue and replication instructions to Apple over a year ago. We don't know why it hasn't been fixed, but we don't feel comfortable waiting any longer. Hide My Email users deserve to know that it may be possible for attackers to discover their hidden email addresses."
La preoccupazione non è teorica. Esistono database pubblici e gratuiti di people-search che incrociano un indirizzo email con nome, cognome, numero di telefono e indirizzo fisico. Un alias bucato non è solo una seccatura: per chi usa Hide My Email per motivi di sicurezza personale, è un rischio concreto.
Una cronologia di rinvii: da giugno 2025 a oggi
La sequenza temporale, ricostruita da più fonti, mostra un pattern di risposte dilazionatorie da parte di Apple:
- Giugno 2025 — Tyler Murphy scopre la vulnerabilità e la segnala ad Apple con istruzioni dettagliate per replicarla. Apple accusa ricevuta e comunica di aver avviato un’indagine.
- Marzo 2026 — Apple informa Murphy di aver "affrontato il problema segnalato con una modifica di sistema recente". Murphy verifica e scopre che la falla è ancora aperta. Invia nuove informazioni all’azienda.
- Aprile-Maggio 2026 — Apple comunica di essere ancora in fase di indagine e chiede a Murphy di non rivelare pubblicamente la vulnerabilità. Murphy propone come misura provvisoria di sospendere la creazione di nuovi indirizzi Hide My Email, ma non ci sono indicazioni che il suggerimento sia stato accolto.
- Fine maggio 2026 — Apple annuncia un aggiornamento di sicurezza "previsto nelle prossime settimane". Al 1° luglio 2026, data di pubblicazione dei report, la patch non è ancora stata distribuita.
In oltre un anno, dunque, gli utenti paganti di iCloud+ hanno continuato a generare alias potenzialmente vulnerabili, mentre Apple rimandava la correzione senza adottare contromisure tampone.
Il cambio di dominio e il paradosso della privacy
Questa vicenda si inserisce in un momento delicato per Hide My Email. Apple ha recentemente annunciato che tutti i nuovi indirizzi anonimi — sia per Hide My Email sia per Sign in with Apple — migreranno verso un unico sottodominio dedicato: private.icloud.com.
La modifica ha già suscitato critiche. Prima, gli alias condividevano il dominio icloud.com con milioni di indirizzi legittimi, rendendo impraticabile per un servizio terzo bloccare selettivamente gli alias senza colpire anche utenti reali. Con un dominio dedicato, invece, chiunque potrà rifiutare a tappeto tutti gli indirizzi private.icloud.com, vanificando di fatto lo scopo della funzione.
Il difetto di sicurezza rimasto senza fix per un anno e la scelta architetturale del dominio unico compongono un quadro in cui lo strumento pensato per blindare l’identità digitale mostra crepe su due fronti contemporaneamente: quello della sicurezza interna e quello dell’usabilità pratica.
Cosa cambia per chi usa Hide My Email oggi
Chi ha generato alias con Hide My Email da giugno 2025 a oggi non ha modo di sapere se il proprio indirizzo reale sia stato esposto. La vulnerabilità, stando ai test, è sistemica e colpisce la totalità degli indirizzi generati. Nel frattempo la documentazione tecnica del bug non è pubblica, quindi non esiste un controllo fai-da-te che l’utente possa eseguire.
L’unica certezza è che Apple ha riconosciuto il problema internamente e ha promesso una correzione. Ma un anno di esposizione per una funzione venduta come scudo di privacy a pagamento (Hide My Email è parte di iCloud+) rappresenta un precedente significativo. Se Apple non accelera il ciclo di patch, la fiducia degli utenti in strumenti come questo rischia di erodersi proprio mentre cresce la domanda di protezione dell’identità digitale.
