Apple vend Hide My Email pour garder votre véritable adresse e-mail cachée, mais il présente une vulnérabilité qui fait exactement le contraire. Le pire, c’est que l’entreprise est au courant depuis un an.
Hide My Email, qui fait partie de l'abonnement iCloud+ payant d'Apple, permet aux utilisateurs de générer des adresses e-mail anonymes pour s'inscrire à un site Web, afin que leur messagerie personnelle ou professionnelle reste exempte d'e-mails promotionnels et de spam.
Cependant, l'équipe de 404 Media, ainsi qu'un chercheur en sécurité, ont maintenant confirmé que la fonctionnalité comporte un bug qui relie ces adresses anonymes à votre véritable adresse e-mail Apple ID.
Alors que s’est-il passé exactement ici ?
Tyler Murphy, co-fondateur de l'outil de confidentialité EasyOptOuts, a signalé la vulnérabilité à Apple en juin 2025. Apple l'a reconnu un mois plus tard et étudiait le problème.
Puis, en mars 2026, Apple a déclaré à Murphy que le problème avait été résolu dans une mise à jour, ce qui signifie généralement qu'il a été résolu. Pour vérifier, Murphy l'a testé à nouveau et a constaté que le problème était toujours présent, fournissant ainsi plus d'informations à Apple.
Pas plus tard qu'en mai 2026, Apple a déclaré à Murphy qu'elle enquêtait toujours et lui a demandé de ne pas rendre publique l'information. La société a également déclaré qu'un correctif était attendu « dans les semaines à venir », qui n'est toujours pas arrivé.
Pour vérifier de manière indépendante, 404 Media a vérifié le problème cette semaine en générant une nouvelle adresse Hide My Email et en la fournissant à Murphy. Environ cinq minutes plus tard, Murphy a renvoyé la véritable adresse e-mail associée à ce compte Apple.
Qu’est-ce que cela signifie pour les utilisateurs ?
Lors des tests limités de Murphy, 100 % des adresses Hide My Email étaient exploitables.
Étant donné que les sites Web de recherche de personnes peuvent associer une adresse e-mail à un nom, un emplacement et d’autres informations personnelles, toute personne utilisant Hide My Email pour des raisons de sécurité pourrait courir un risque.
Le point de vente n'a pas publié les détails techniques de l'exploit puisqu'il reste actif.
Hide My Email devrait également devenir beaucoup moins efficace, mais pour une raison totalement différente. Un rapport distinct de juin 2026 a révélé les projets d'Apple de déplacer les adresses e-mail générées du domaine icloud.com vers private.icloud.com.
Cela permettrait aux sites Web et aux services de les identifier et de les bloquer plus facilement, réduisant ainsi son utilité pour éviter le spam et le suivi indésirable.
