Appleは、iCloud+のHide My Email機能に長期間存在していた脆弱性を修正しました。この不具合により、誰でもユーザーの実際のメールアドレスを特定できる状態になっていました。パッチは2026年7月3日に適用されましたが、これは研究者が最初にAppleへ問題を報告してから1年以上が経過してのことでした。
この脆弱性は、Hide My Emailのエイリアス宛に送信されたメッセージが、受信者側のメールプロバイダーによってスパムとして拒否(バウンス)された際に発生していました。その拒否処理の過程で、送信者側のメールログにユーザーの本来のメールアドレスが記録されてしまい、たとえ元のメッセージが完全に正当なものであっても情報が露呈する仕組みでした。
404 Mediaによると、バウンスしたメールは受信者の受信箱に届かないことが多いため、被害者は自分のスパムフォルダを確認しても、情報が露呈したかどうかを知る術がなかったといいます。
オプトアウトサービスEasyOptOutsの共同創業者であるTyler Murphy氏は、ボランティアと共にテストしたHide My Emailアドレスの100%が悪用可能であることを発見し、2025年6月に最初にこの問題をAppleへ報告しました。
その後1年間にわたり、Appleはこの問題を調査中であり、すでに解決済みだとMurphy氏に繰り返し伝えていましたが、そのたびに氏が確認すると脆弱性は依然として悪用可能な状態のままでした。このやり取りに苛立ちを募らせたMurphy氏は、最終的にこの調査結果を404 Mediaに持ち込みました。
Appleが7月3日にパッチを適用した後も、AppleInsiderが2週間後に独自にエイリアス特定手法を検証したところ、「中程度の技術的知識」があれば依然として機能することが確認され、修正が本当に十分だったのか疑問が投げかけられました。その後Appleは404 Mediaに対し、問題は現在完全に解決済みであると説明しています。
Murphy氏とEasyOptOutsの共同創業者であるBen Weiner氏は、メール転送ログはプロバイダーによって長期間保持されることが多いため、バグを修正しても過去に露呈した情報がなくなるわけではないと注意を促しています。
両氏は、2026年7月7日より前に作成されたHide My Emailのエイリアスはすべて、情報が漏えいした可能性があるものとして扱うべきであり、サードパーティのログにまだ残っている可能性があると助言しています。
この事実が明らかになったことを受け、Appleに対する集団訴訟(クラスアクション)が提起される見通しとなっています。訴状では、Appleが1年以上前からこの悪用可能な不具合を認識していたにもかかわらず、Hide My Emailを真のプライバシー保護機能であるかのように偽って表示し、iCloud+のサブスクリプション料金を徴収していたと主張しています。
原告側は、同機能に関連するサブスクリプション料金の全額返還に加え、Appleの「欺瞞的な行為」の差し止めを求めています。
この問題を報じた404mediaは、影響を受けたユーザーに対して以下の予防策を提案しています。
SOC調査の死角を排除し、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への支障を軽減できます。
翻訳元: https://cyberpress.org/apple-fixes-hide-my-email-flaw/