Apple heeft actie ondernomen om een beveiligingsfout in de Hide My Email-service aan te pakken, waardoor de echte e-mailadressen van gebruikers konden worden ontmaskerd, waardoor de privacygaranties van de functie feitelijk werden ondermijnd.
404 Media meldde dinsdag dat Apple op 3 juli 2026, na meer dan een jaar, een oplossing voor het probleem had geïmplementeerd, toen deze aan het bedrijf werd bekendgemaakt door Tyler Murphy, medeoprichter van EasyOptOuts.
Hide My Email genereert unieke, willekeurige e-mailadressen die berichten automatisch doorsturen naar de persoonlijke e-mailinbox van een gebruiker. Door wegwerp-e-mailadressen te creëren, is het de bedoeling de privacy van gebruikers te beschermen en ongewenste spam aan te pakken. De functie vereist een betaald abonnement op iCloud+ en werd in juni 2021 door Apple aangekondigd.
Aan het begin van de maand kwamen er echter details naar voren over een fout die het mogelijk maakte om het echte e-mailadres van een gebruiker te ontmaskeren, verborgen achter een Verberg mijn e-mailadres. Het probleem werd voor het eerst aan Apple gemeld op 13 juni 2025, waarbij Apple eerder in maart en opnieuw op 30 juni 2026 tevergeefs probeerde het te patchen.
Hoewel details over het probleem destijds werden achterwege gelaten om mogelijke exploitatie te voorkomen, zijn er nu meer details gepubliceerd, aangezien het eindelijk is gedicht.
De kern van het probleem was dat het simpelweg sturen van een doelgericht bericht naar een Hide My Email-gebruiker dat als spam werd afgewezen ervoor zorgde dat het echte e-mailadres van de persoon in de e-maillogboeken verscheen.
“We weten niet hoe vaak verborgen e-mailadressen in e-maillogboeken zijn gelekt. Bij veel grote e-mailhosts werd het lek eenvoudigweg veroorzaakt doordat een e-mail automatisch als spam werd afgewezen, zelfs als het een legitiem bericht was. Dergelijke e-mails zijn waarschijnlijk niet in uw inbox terechtgekomen, dus u kunt uw spammap niet bekijken om te zien of u hierdoor bent getroffen”, vertelde Murphy en mede-oprichter van EasyOptOuts, Ben Weiner, aan 404 Media.
Het is vermeldenswaard dat hoewel de bug is opgelost, het mogelijk is dat een echt e-mailadres dat is gekoppeld aan een Verberg mijn e-mailadres dat vóór 7 juli 2026 is aangemaakt, is vastgelegd in de logboeken voor e-mailoverdracht wanneer niet-kwaadwillige e-mails worden teruggestuurd.
Deze ontwikkeling komt op het moment dat Apple te maken krijgt met een class action-rechtszaak, waarin Apple wordt beschuldigd van het misleiden van klanten over de privacy van de Hide My Email-functie, terwijl ze daarvoor kosten in rekening brengen.
“Apple beloofde Hide My Email als een privacyfunctie waarvoor klanten betaalden, hetzij direct via iCloud+ of indirect via de productbrede privacyverklaringen van Apple, en slaagde er niet in deze te leveren”, aldus de klacht. “Erger nog, Apple is zich al meer dan een jaar volledig bewust van dit probleem en heeft het niet opgelost.”
“Op geen enkel moment gedurende deze periode heeft Apple Hide My Email uitgeschakeld of gepauzeerd, zijn klanten gewaarschuwd voor de fout, of zijn privacyverklaringen gecorrigeerd.”
