Apple corrige la filtración de Hide My Email tras un retraso de 13 meses

Apple dice que ha solucionado completamente una vulnerabilidad de Hide My Email que podría exponer la dirección de correo real de un usuario, pero solo después de que el problema permaneciera sin resolverse durante más de un año. Según 404 Media, Apple lanzó el parche el 3 de julio, después de que el medio planteara preguntas sobre el fallo a principios de julio.

La vulnerabilidad fue reportada por primera vez a Apple en junio de 2025 por Tyler Murphy, cofundador de EasyOptOuts. Murphy dijo que Apple le informó que el problema estaba siendo investigado. Más tarde, Apple afirmó que la vulnerabilidad se había solucionado en marzo de 2026, pero Murphy comprobó que no era así. Tras más idas y venidas, contactó a 404 Media, que entonces confirmó que el fallo ya había sido parcheado y publicó los detalles porque ya no podía ser explotado.

Hide My Email, una función de pago de iCloud+, permite a los usuarios generar direcciones anónimas para registros y correspondencia. En este caso, enviar un mensaje a un usuario objetivo de Hide My Email que fuera rechazado como spam podía hacer que la dirección de correo real del destinatario apareciera en los registros de correo.

Recomendado

Google indexó conversaciones de DeepSeek compartidas por usuarios

«No sabemos con qué frecuencia se filtraron direcciones de correo ocultas en los registros de correo. Para muchos de los principales proveedores de correo electrónico, la filtración se desencadenó simplemente porque un correo fue rechazado automáticamente como spam, incluso si era un mensaje legítimo. Esos correos probablemente no llegaron a tu bandeja de entrada, por lo que no puedes revisar la carpeta de spam para saber si fuiste afectado.»

Murphy y el cofundador de EasyOptOuts, Ben Weiner, dijeron que el parche no elimina el riesgo residual de los registros antiguos.

«El error que provocaba que Hide My Email de Apple filtrara direcciones de correo ocultas a los remitentes ha sido corregido. Sin embargo, no creemos que el riesgo para los usuarios de Hide My Email se haya eliminado. Debido a que correos no maliciosos podrían rebotar, revelando tu dirección de correo oculta, y porque los registros de transferencia de correo a menudo se conservan, supondríamos que cualquier dirección de correo oculta vinculada a una dirección de Hide My Email creada antes del 7 de julio de 2026 puede haber sido expuesta y podría seguir apareciendo en registros de terceros.»

Apple también enfrenta una demanda por el fallo. Los demandantes buscan el estatus de acción colectiva, alegando que Apple violó la ley de publicidad falsa de California y otras leyes de protección al consumidor al saber que Hide My Email no funcionaba como se anunciaba.