Apple виправила серйозну вразливість Hide My Email, але незалежне тестування поставило під сумнів заяви компанії
Apple повідомила, що 3 липня 2026 року усунула небезпечну вразливість у функції Hide My Email, яка входить до складу iCloud+. Проте незалежне тестування показало, що через два тижні після оголошеного виправлення проблема все ще відтворювалася, що викликало нові питання щодо ефективності оновлення.
У чому полягала проблема Hide My Email
Функція Hide My Email дозволяє створювати випадкові адреси електронної пошти, які пересилають листи на основну поштову скриньку користувача. Завдяки цьому можна реєструватися на сайтах і в сервісах, не розкриваючи свою справжню адресу електронної пошти.
Саме ця конфіденційність є головною перевагою сервісу. Однак дослідники безпеки виявили, що за певних умов відправник, який уже мав конкретний псевдонім (alias), міг дізнатися реальну адресу електронної пошти, пов'язану з ним.
При цьому:
- паролі не розкривалися;
- облікові записи Apple не зламувалися;
- доступ до поштової скриньки отримати було неможливо.
Фактично проблема стосувалася саме втрати анонімності, яку повинна гарантувати функція Hide My Email.
Apple працювала над виправленням майже рік
Про вразливість Apple повідомили співзасновники сервісу EasyOptOuts Тайлер Мерфі та Бен Вайнер ще влітку 2025 року. Після цього між дослідниками та компанією тривало листування, обмін тестами й перевірками.
За словами дослідників:
- Apple кілька разів повідомляла про усунення проблеми;
- після кожного такого повідомлення вони знову знаходили спосіб відтворити вразливість;
- остаточно Apple заявила про повне виправлення 3 липня 2026 року.
Незалежне тестування показало інший результат
Попри офіційну заяву Apple, журналісти AppleInsider провели власне тестування 17 липня 2026 року.
Під час перевірки вони змогли повторити сценарій, який дозволяв встановити справжню адресу електронної пошти, прив'язану до псевдоніма Hide My Email.
З міркувань безпеки деталі експлуатації не були опубліковані, щоб не створювати додаткових ризиків для користувачів.
Водночас журналісти зазначають, що їхній експеримент не доводить, що проблема існувала абсолютно для всіх користувачів або всіх поштових сервісів. Проте результати ставлять під сумнів твердження Apple про повністю завершене виправлення саме 3 липня.
[blog-product-8765, 8764, 8756, 8738, 8714-title-new_product]
Apple поки не пояснила розбіжності
Наразі компанія не відповіла на кілька важливих питань:
- чи розгорталося виправлення поступово;
- коли саме воно стало доступним усім користувачам;
- чому тестування 17 липня все ще демонструвало наявність проблеми.
Саме відсутність цих пояснень і стала головною причиною дискусії навколо ситуації.
Наскільки небезпечною була ця вразливість
Попри серйозність проблеми, експерти наголошують, що її практичний ризик був обмеженим.
Для потенційної атаки потрібно було:
- мати конкретний псевдонім Hide My Email;
- перевіряти кожну адресу окремо;
- виконувати дії індивідуально для кожного користувача.
Також немає жодних підтверджень, що вразливість використовувалася в рамках масштабної або організованої кампанії.
Чи потрібно хвилюватися користувачам
Дослідники EasyOptOuts рекомендують вважати, що адреси, пов'язані з псевдонімами, створеними до 7 липня 2026 року, потенційно могли бути розкриті.
Крім того, навіть якщо псевдонім було видалено після виправлення, інформація могла залишитися в журналах сторонніх поштових сервісів, якщо раніше взаємодія вже відбулася.
Водночас жодних доказів масового витоку або активного використання цієї вразливості наразі не оприлюднено.
Вже подано колективний позов
Після публічного розголосу ситуації в США було подано колективний позов проти Apple.
Позивачі вимагають компенсації вартості підписки та інших можливих збитків. Водночас у позові не стверджується, що електронна адреса заявника справді була розкрита або що хтось скористався цією вразливістю проти нього.
Чи варто відмовлятися від Hide My Email
На сьогодні Apple заявляє, що проблема вже усунута, а самі дослідники також підтверджують, що вразливість більше не відтворюється.
Через це немає підстав повністю відмовлятися від використання Hide My Email. Проте користувачам варто пам'ятати, що будь-яка інформація, яка могла бути отримана до виправлення, не зникне автоматично зі сторонніх серверів або журналів.
Думка AppleFun
На нашу думку, ця історія ще раз нагадує, що абсолютно бездоганних систем захисту не існує. Добре, що Apple виправила проблему, але користувачі також очікують максимальної прозорості щодо подібних інцидентів. Саме відкритість компанії допомагає зберігати довіру до її сервісів.
FAQ
Що таке Hide My Email?
Hide My Email — це функція iCloud+, яка створює випадкові адреси електронної пошти. Вони пересилають листи на вашу основну скриньку, дозволяючи приховати справжню адресу під час реєстрації на сайтах або в застосунках.
Яку вразливість виявили в Hide My Email?
Дослідники виявили, що за певних умов відправник, який знав конкретний псевдонім (alias), міг визначити реальну адресу електронної пошти, пов'язану з ним. При цьому доступ до облікового запису або листування отримати було неможливо.
Чи виправила Apple проблему?
Так. Apple повідомила, що виправила вразливість у липні 2026 року. Незалежне тестування спочатку поставило це під сумнів, однак зараз і компанія, і дослідники підтверджують, що проблема більше не відтворюється.
Чи були скомпрометовані паролі або Apple Account?
Ні. Вразливість не відкривала доступ до паролів, Apple Account або вмісту поштової скриньки. Вона могла вплинути лише на конфіденційність адреси електронної пошти.
