Apple、深刻な「Hide My Email」脆弱性を修正

1年以上続いたプライバシー侵害

本物のメールアドレスを保護するために設計されたセキュリティ機能が、1年以上にわたって外部の送信者にそのアドレスを漏らしていました。Appleは2025年6月の時点で初期の警告を受けていたにもかかわらず、大々的な報道を受けて初めて「Hide My Email」サービスの深刻な欠陥を修正しました。この問題を詳細に取り上げた調査報道は、Apple fixes Hide My Email vulnerability after 404 Media coverageで確認できます。

この機能は有料のiCloud+サブスクリプションの中核をなす機能で、icloud.comドメイン配下にランダムなエイリアスを生成します。ユーザーはさまざまなオンラインサービス上でこの仮名を使用し、本来のメールアドレスを保護しながら、届いたメールはシームレスに実際の受信箱へ転送される仕組みです。

情報漏洩の仕組み

プライバシー保護サービスEasyOptOutsの共同創業者であるTyler Murphy氏は、送信者側であれば誰でもユーザーの隠されたメールアドレスを暴けることを発見しました。初期のテストでは、検証したすべてのケースでこの手口が有効であることが確認されています。Murphy氏によると、ボランティアから提供された「Hide My Email」エイリアスのうち、テスト対象の100%でこの欠陥の影響が確認されたということです。

ユーザーの本当の身元を暴くには、受信側のメールシステムがスパムまたは不要なトラフィックとして拒否するようなメールを送信するだけで十分でした。その結果として返されるエラーメッセージや配信失敗のログには、本来この機能が隠すはずだった実際の送信先アドレスが頻繁に表示されてしまっていたのです。多くのケースでは、メッセージはユーザーの迷惑メールフォルダに届くことすらなく自動的に拒否されるため、本人は自分の個人情報が漏洩したことに気づくすべがありませんでした。

対応の遅れとクラスアクション訴訟

Murphy氏は2025年6月、この脆弱性について最初にAppleに警告を行いました。同社はその後も調査中あるいは修正対応中であると繰り返し表明していましたが、その後のテストでもこの脆弱性が解消されていないことが判明しました。1年にわたり事態が動かなかったことを受け、Murphy氏は404 Mediaに連絡を取り、同メディアは修正パッチが公開されるまで技術的な詳細を伏せた形で7月上旬にこの欠陥を報じました。

Appleは2026年7月3日、この脆弱性を完全に解決したと正式に発表しました。しかしEasyOptOutsのセキュリティ専門家らは、依然として残存リスクがあると警告しています。メールのルーティングログはサードパーティのサーバー上に長期間保存されていることが多いため、漏洩した本来のメールアドレスが外部のデータベースに残り続けている可能性があるためです。

研究者らは、2026年7月7日より前に作成されたエイリアスに紐づく実際のメールアドレスはすべて、漏洩の可能性があるものとして扱うようユーザーに助言しています。こうした一連の公表を受けて、Appleを相手取ったクラスアクション訴訟が提起されました。原告側は、影響を受けたiCloud+ユーザーへのサブスクリプション料金の全額返金を求めるとともに、同社がプライバシー保護に関して事実と異なる説明を行うことを禁じる差し止め命令を求めています。