La falla di sicurezza in Hide My Email, la funzione di iCloud+ pensata proprio per nascondere gli indirizzi di posta elettronica degli utenti, sarebbe stata finalmente corretta da Apple. Un bel paradosso, se si pensa che si tratta di uno strumento nato per proteggere la privacy e che invece, per un certo periodo, rendeva quegli stessi indirizzi piuttosto facili da scovare. La patch, secondo quanto emerso, è stata rilasciata il 3 luglio 2026 e avrebbe chiuso definitivamente il buco.
Facciamo un passo indietro. Hide My Email era arrivata nel 2021 con una promessa semplice, cioè generare indirizzi email fittizi da usare al posto di quello vero, così da tenere al riparo l’identità di chi lo usa. Il meccanismo funziona come una specie di filtro, la posta arriva all’indirizzo mascherato e poi viene reindirizzata a quello reale. Peccato che, fino a poco tempo fa, bastava inviare un messaggio all’indirizzo camuffato e farlo rimbalzare come spam per far saltare fuori l’email nascosta dietro. Non proprio quello che ci si aspetta da un servizio a pagamento pensato per la privacy.
La vulnerabilità nota da oltre un anno e la class action
Il dettaglio che fa storcere il naso è un altro. Apple sarebbe stata al corrente della vulnerabilità da almeno un anno. A segnalarla, nel giugno 2025, è stato Tyler Murphy, cofondatore di EasyOptOuts, che ha portato la questione all’attenzione dell’azienda. Nei mesi successivi Apple avrebbe esaminato il problema dichiarando di averlo risolto, salvo poi scoprire che gli indirizzi nascosti erano ancora rintracciabili. A quel punto Murphy ha avvisato di nuovo l’azienda e, temendo che la falla restasse lì senza soluzione, ha deciso di rendere pubblica la sua scoperta.
Adesso la patch c’è, ma Murphy non è del tutto tranquillo. Secondo lui il rischio per gli utenti di iCloud+ non è sparito del tutto. Il ragionamento è questo, anche email del tutto legittime possono rimbalzare e svelare l’indirizzo nascosto, e visto che i log dei trasferimenti di posta vengono spesso conservati a lungo, qualsiasi indirizzo collegato a un alias creato prima del 7 luglio 2026 potrebbe essere già finito esposto e trovarsi ancora nei registri di terze parti. In parole povere, il danno potenziale potrebbe essere già stato fatto.
C’è poi il capitolo reputazione, che per Apple pesa parecchio. Buona parte dell’immagine pubblica dell’azienda si regge proprio sull’attenzione alla privacy, quindi vendere una funzione riservatezza che di fatto non funzionava è un problema difficile da minimizzare. E la cosa non è passata inosservata. L’azienda si ritrova ora una proposta di class action legata proprio alla falla di Hide My Email. L’azione legale chiede un’ingiunzione contro quella che viene definita una condotta ingannevole da parte di Apple, oltre al rimborso completo di tutte le quote di abbonamento pagate dai clienti per usare quella funzione.
