In questo articolo Indice dei contenuti 3 sezioni
Una causa collettiva depositata negli Stati Uniti mette Apple sul banco degli imputati per iCloud Private Relay, la funzione pensata per nascondere indirizzo IP e richieste DNS di chi naviga con Safari. L’accusa è pesante e va ben oltre il semplice difetto tecnico, perché si parla apertamente di frode e pubblicità ingannevole nei confronti degli abbonati a iCloud+. Il nodo, secondo chi ha presentato l’azione legale, è che quella promessa di riservatezza non sarebbe stata mantenuta e che l’azienda lo sapeva, o avrebbe dovuto saperlo, mentre incassava i soldi delle sottoscrizioni.
A muoversi è stato lo studio Clarkson Law Firm, un nome che a Cupertino conoscono già bene. La contestazione riguarda il modo in cui il servizio è stato presentato al pubblico, cioè come uno scudo capace di impedire che siti e operatori di rete risalgano all’identità di chi naviga. Secondo l’atto depositato, quelle affermazioni sarebbero state false e fuorvianti già nel momento in cui venivano usate per vendere gli abbonamenti.
Chi accusa Apple e cosa chiede
Clarkson non è alle prime armi con Apple. Lo stesso studio aveva portato l’azienda in tribunale per il ritardo nel lancio delle funzioni personalizzate di Siri, una vicenda chiusa con un accordo da 250 milioni di dollari, circa 230 milioni di euro. L’intesa era stata raggiunta a dicembre 2025, anche se i dettagli sulle somme e sulle modalità di risarcimento sono rimasti riservati fino a maggio.
Tim Giordano, partner dello studio, ha usato parole nette. La sostanza del suo ragionamento è che Apple ha costruito buona parte della propria reputazione sulle promesse di privacy e che gli abbonati a iCloud+ hanno pagato un sovrapprezzo proprio per ottenere una protezione che poi, alla prova dei fatti, non ha retto. Una violazione definita oltraggiosa, un tradimento della fiducia dei consumatori e della legge.
I difetti tecnici finiti nel mirino
La causa si appoggia a una serie di problemi individuati in WebKit, il motore che sta sotto il cofano dei browser su iOS. Ricercatori di sicurezza li hanno descritti nei dettagli all’inizio di questo mese, e il più delicato riguarda l’accesso tramite passkey. Il meccanismo funziona così: un sito può avviare una verifica passkey che finisce per essere gestita direttamente dal sistema operativo del dispositivo invece che da Safari. Risultato, i server proxy di Private Relay vengono scavalcati del tutto. In alcuni casi la cosa avviene senza che compaia alcun avviso all’utente, persino su pagine che si limitano a dichiarare un generico supporto alle passkey.
Non finisce lì. Sono stati segnalati altri due comportamenti anomali, uno legato al prefetching DNS e l’altro al protocollo WebTransport introdotto con iOS 26. In determinate condizioni entrambi possono lasciare trapelare l’indirizzo IP reale oppure i server DNS effettivamente utilizzati. Piccoli spiragli, certo, ma sufficienti a vanificare l’idea stessa di un tunnel che dovrebbe rendere anonimo il traffico.
Perché la questione riguarda tutti i browser
Un aspetto spesso trascurato è che su iPhone e iPad non esistono davvero browser alternativi nel senso tecnico del termine. Chrome, Firefox e gli altri girano tutti sopra WebKit, quindi l’esposizione descritta nella class action non si ferma a Safari ma tocca l’intero ecosistema di navigazione mobile di Apple. Chi pensava di aggirare il problema cambiando applicazione, insomma, si trovava nella stessa identica situazione. L’azione legale è per ora una proposta di class action, il che significa che dovrà passare il vaglio del tribunale prima di poter rappresentare formalmente l’intera platea degli abbonati che hanno pagato per il servizio. Le funzioni contestate restano quelle vendute come parte del pacchetto iCloud+, con Private Relay tra gli argomenti di punta nella comunicazione commerciale dell’azienda.
