Appleは、プライバシー保護機能「Hide My Email」に存在していた1年越しの脆弱性を修正しました。この脆弱性はユーザーの実際のメールアドレスを露出させる可能性があるもので、すでに集団訴訟にも発展し、Appleのプライバシー訴求に対する批判が強まっています。
Vulnerabilityassessment service
Hide My Emailは有料のiCloud+サブスクリプションの一部として提供されている機能で、ランダムなエイリアスアドレスを生成し、届いたメールを実際の受信トレイに転送する仕組みです。
この機能は、オンライン上のアイデンティティと主要なメールアカウントを切り離すことを目的としています。しかし、EasyOptOutsの共同創業者でセキュリティ研究者のTyler Murphy氏は、これらのエイリアスから実際のメールアドレスを確実に割り出せることを発見し、本来の機能が保証するはずだった匿名性が損なわれていることを明らかにしました。
Murphy氏によると、限定的なボランティアテストではあるものの、サンプルとして調べたHide My Emailのエイリアスの100%が悪用可能だったといい、これが個別の事例ではなく構造的な問題であることを示しています。
露呈したHide My Emailの脆弱性
Murphy氏とEasyOptOutsの共同創業者であるBen Weiner氏によれば、この脆弱性の悪用に特権の昇格や内部関係者のアクセス権限は一切必要なく、巧妙に細工したメールを送るだけで済むといいます。
具体的には、Hide My Emailのエイリアス宛てに送られたメッセージがスパムとして拒否された場合、隠されていた実際のアドレスが大手メールプロバイダーの保持するメール転送ログに記録されてしまう可能性があります。
こうしたバウンス(配信不能)は通常、メッセージがユーザーの受信トレイに届く前に発生するため、影響を受けたHide My Emailの利用者には、自分の実アドレスが露出したかどうかをスパムフォルダやメールログで確認する確実な手段がありませんでした。
Murphy氏は2025年6月にこの不具合を最初にAppleへ報告しました。同社は複数回にわたり調査を実施したことを認め、修正済みだとも主張していましたが、実際には脆弱性が解消されないまま残っていました。
Appleは最終的に、メディアによる報道でこの継続的なリスクが明るみに出た後の2026年7月3日、サーバー側でパッチを適用しました。同社は現在、この不具合は完全に解消されたとしています。
しかしEasyOptOutsは、2026年7月7日以前に作成されたHide My Emailのエイリアスについては、対応する実際のメールアドレスがサードパーティのメールプロバイダーによって記録されている可能性があり、今もそれらのログに残っているかもしれないという前提で対応するようユーザーに呼びかけています。
Appleは現在、カリフォルニア州で集団訴訟の提起を受けており、虚偽広告や欺瞞的な行為があったと主張されています。訴状では、Appleが1年以上にわたりこの脆弱性を認識していながら、Hide My Emailを強力なプライバシー保護機能として宣伝しつつiCloud+の料金を徴収していたと主張しています。
404 Mediaの報道によると、訴状ではサブスクリプション料金の払い戻しに加え、Appleに対し約束通りのプライバシー保護を実際に提供するか、あるいはこの機能の技術的な限界を明確に開示することを義務付ける差止命令も求めています。
セキュリティを重視するユーザーにとって、この事例はベンダーが掲げる「プライバシー」というブランディングを、検証すべきマーケティング上の主張として扱う必要性を浮き彫りにしています。また、アプリケーション層の挙動が一見プライバシーに配慮しているように見えても、メールのエイリアスや転送サービスがインフラ層のログ記録を通じてメタデータや識別子を漏洩させ得るという前提を持つことの重要性も示しています。
ALERT: 20+ government sites delivered malware to businesses and citizens. See full attack research to check your own exposure.
Antivirus& Malware
翻訳元: https://gbhackers.com/apple-fixes-hide-my-email-vulnerability/