Apple corregge una falla di Nascondi la mia email dopo l'inchiesta

Apple ha ufficialmente corretto una vulnerabilità presente in Nascondi la mia email, la funzione inclusa in iCloud+ che permette di nascondere il proprio indirizzo email reale dietro alias casuali.

La correzione è stata rilasciata dopo che il sito specializzato 404 Media ha pubblicato un’inchiesta dettagliata sul problema, dimostrando che il difetto consentiva di risalire all’indirizzo email reale associato a un alias generato dal servizio. La falla era stata segnalata per la prima volta a Apple nel giugno 2025 dal ricercatore di sicurezza Tyler Murphy, ma la casa di Cupertino ha impiegato più di un anno per intervenire concretamente.

Il meccanismo della vulnerabilità di Nascondi la mia mail

La vulnerabilità non derivava da una compromissione diretta dei server Apple, bensì da un comportamento anomalo del sistema di inoltro email legato alla gestione dei messaggi rifiutati come spam.

In sintesi, inviando un messaggio mirato a un utente Nascondi la mia email che venisse classificato come spam e quindi respinto, l’indirizzo email reale dell’utente veniva registrato nei log di trasferimento della posta, rendendolo di fatto visibile al mittente. Secondo i test condotti da 404 Media in collaborazione con Murphy, il 100% degli alias esaminati risultava vulnerabile, con tempi di exploit inferiori a cinque minuti.

Apple ha confermato di aver ricevuto la prima segnalazione nel giugno 2025, ma fino a marzo 2026 ha dichiarato che la questione era ancora sotto indagine, chiedendo al ricercatore di non divulgare informazioni per non mettere a rischio i clienti. Solo dopo la pubblicazione dell’inchiesta di 404 Media all’inizio di luglio 2026, Apple ha accelerato lo sviluppo di una patch, rilasciata poi il 3 luglio e descritta come “completamente risolutiva”.

Nonostante la correzione, gli esperti avvertono che i log email generati prima del 7 luglio 2026 potrebbero ancora contenere indirizzi reali esposti, lasciando un margine di rischio residuo per chi ha creato alias prima di quella data.

Perché gli alias email restano fondamentali per la privacy

Nascondi la mia email è uno degli strumenti più apprezzati dell’ecosistema iCloud+, perché permette di separare l’identità digitale principale dalle attività quotidiane online, riducendo tracciamento, spam e rischi di phishing mirato.

Quando un servizio subisce una violazione dei dati o condivide indirizzi con terze parti, l’utente può semplicemente disattivare o eliminare l’alias compromesso senza modificare l’account principale, mantenendo intatta la propria identità digitale. La vicenda sottolinea l’importanza di mantenere aggiornati tutti i componenti software e di affidarsi a ricercatori indipendenti per individuare falle che, anche in funzioni progettate per la privacy, possono emergere solo dopo un utilizzo esteso.