Apple dice di aver chiuso la falla di Hide My Email, ma un test la riproduce ancora

Apple ha comunicato di aver corretto la vulnerabilità di Hide My Email che permetteva a un mittente di risalire all'indirizzo di posta reale nascosto dietro un alias. L'azienda ha dichiarato di aver distribuito la patch il 3 luglio e di considerare il problema pienamente risolto. La dichiarazione è stata condivisa con 404 Media, che nelle scorse settimane aveva sollevato il problema. La soluzione, però, non sembra essere particolarmente efficace, e AppleInsider è riuscita a riprodurre la falla il 17 luglio, due settimane dopo il rilascio dell'aggiornamento.

La funzione fa parte di iCloud+, il pacchetto a pagamento della Mela, ed è nata nel 2021 per generare indirizzi casuali che inoltrano la posta alla casella reale dell'utente, così da non doverla mai comunicare a siti e servizi. La promessa è la riservatezza dell'indirizzo vero, cosa che la vulnerabilità incrinava alla base.

Il meccanismo era tanto banale quanto efficace: bastava inviare all'utente-bersaglio, sul suo alias Hide My Email, un messaggio che venisse rifiutato come spam. Il rifiuto faceva comparire l'indirizzo reale nei log di posta, leggibili dal mittente. Nei test condotti su un gruppo ristretto di volontari, tutti gli indirizzi provati sono risultati esposti.

Un anno di riparazioni annunciate e mai riuscite

Tyler Murphy, cofondatore di EasyOptOuts, aveva segnalato il problema ad Apple nel giugno 2025. Nei mesi successivi Cupertino ha dichiarato più volte di averlo corretto, salvo vedere Murphy replicare la vulnerabilità ogni volta: due date di chiusura annunciate, il 3 marzo e il 30 giugno 2026, sono state entrambe smentite dai test. Convinto che il problema non sarebbe stato risolto, il ricercatore si è rivolto a 404 Media, che ha pubblicato la notizia il 1° luglio senza indicare come sfruttare la falla, per non offrire istruzioni a terzi.

La patch del 3 luglio arriva quindi dopo oltre un anno e solo a valle della copertura giornalistica. Come dicevamo, però, AppleInsider riferisce di aver riprodotto il comportamento il 17 luglio, senza particolari competenze tecniche una volta ottenuto un alias specifico, pur precisando di non riuscire più a replicarlo al momento della pubblicazione. Al momento non è chiaro se la falla resti attiva per tutti gli utenti e tutti i provider di posta.

Il rischio che la correzione non cancella

Anche dando per chiusa la falla, i ricercatori non considerano scampato il pericolo. In una nota, Murphy e il cofondatore Ben Weiner scrivono: "Il bug che portava Hide My Email di Apple a rivelare gli indirizzi nascosti ai mittenti è stato corretto. Tuttavia, non riteniamo che il rischio per gli utenti sia stato eliminato. Poiché anche email legittime possono rimbalzare, esponendo l'indirizzo nascosto, e poiché i log di trasferimento della posta vengono spesso conservati, diamo per scontato che qualsiasi indirizzo nascosto collegato a un alias creato prima del 7 luglio 2026 possa essere stato esposto e trovarsi ancora nei log di terze parti".

La conseguenza è che cancellare un alias non ripulisce ciò che è già finito nei registri di un altro provider. Chi ha creato indirizzi Hide My Email prima di quella data farebbe bene a trattare il proprio indirizzo reale come potenzialmente già noto. La falla, va detto, non esponeva password né dava accesso alle caselle: il danno era la perdita della schermatura, cioè la possibilità di riagganciare un indirizzo permanente a dati già trapelati o pubblici. Per colpire qualcuno serviva comunque disporre del suo alias, il che limitava il numero di bersagli, e non risultano campagne di sfruttamento coordinato.

Sul fronte giudiziario, Apple deve intanto rispondere a una causa collettiva proposta, depositata il 15 luglio, che la accusa di aver violato la legge californiana sulla pubblicità ingannevole e altre norme a tutela dei consumatori. I ricorrenti chiedono la restituzione integrale degli abbonamenti pagati per la funzione e un provvedimento inibitorio contro la "condotta ingannevole" dell'azienda. Secondo l'atto, Apple "era pienamente consapevole del problema da oltre un anno e non lo ha risolto", senza mai sospendere la funzione né avvertire i clienti. La denuncia non sostiene che l'indirizzo del ricorrente sia stato effettivamente esposto.