- Appleは、迷惑メールの不達ログを通じて匿名アドレスが露見していた「メールを非公開」機能の不具合を修正しました
- 2026年7月7日以前に作成された非公開メールアドレスは、サードパーティのログに引き続き露出している可能性があります
- ユーザーはアップデートを適用し、残存するリスクを減らすために非公開アドレスの再生成を検討すべきです
発見から1年を経て、Appleの「メールを非公開」機能に存在していた脆弱性がようやく修正されました。ただし、一部のユーザーは自分自身で対応を行うまで、依然としてリスクにさらされたままとなる可能性があります。
「メールを非公開」機能は有料のiCloud+の一部として提供されており、匿名の新しいメールアドレスを手軽に作成できるものです。ウェブ上のさまざまなサービスに自分のメールアドレスを教えたくないユーザーにとって非常に便利な機能です。一部の企業はこうした情報をサードパーティに販売する傾向があり、その結果、望んでもいないのに迷惑メールやさまざまな勧誘が届き始めるため、この機能は重要な意味を持っています。
2025年6月、セキュリティ研究者のTyler Murphy氏は、これらの匿名メールアドレスを「実際の」アドレスに紐付ける方法を発見し、このサービスの意味を根底から失わせるものであることを明らかにしました。同氏はこの発見をAppleに報告し、Appleは修正で対応しました。しかし問題は解消されず、Murphy氏はAppleとのやり取りを重ねた末、最終的に情報を公開する決断をしました。
修正は完了したのか
現在、同氏はこの問題がようやく解決されたとしていますが、いくつかの留意点を挙げています。
「非公開メールアドレスがメールログを通じてどの程度の頻度で漏えいしていたのかは分かっていません。多くの主要なメールホスティングサービスでは、たとえ正当なメッセージであっても、迷惑メールとして自動的に拒否されただけでこの漏えいが引き起こされていました。そうしたメールはおそらく受信トレイには届いていないため、迷惑メールフォルダを確認しても自分が影響を受けていたかどうかを知ることはできません」と同氏は述べています。
不具合自体は修正されたものの、同氏は「メールを非公開」機能のユーザーに対するリスクは依然として残っていると考えています。「悪意のないメールであっても不達となり、非公開メールアドレスが露見する可能性があったこと、そしてメール転送のログはしばしば保存され続けることを踏まえると、2026年7月7日より前に作成された『メールを非公開』アドレスに紐付く非公開メールアドレスは、露出していた可能性があり、現在もサードパーティのログに残っている可能性があると考えられます」
Appleは2026年7月3日に有効な修正を公開しており、ユーザーには直ちにアップデートを適用するよう呼びかけています。
