Функция «Скрыть e-mail» из состава iCloud+ содержит уязвимость, из-за которой по случайному адресу можно вычислить настоящий адрес электронной почты пользователя — то есть именно то, что функция призвана скрывать. О проблеме сообщили Apple ещё , но к она так и осталась неустранённой. Уязвимость обнаружили в сервисе удаления персональных данных EasyOptOuts, а издание 404 Media независимо подтвердило её на собственном адресе. По словам исследователей, в ограниченных тестах уязвимыми оказались все проверенные адреса «Скрыть e-mail» — 100% случаев.
Для чего нужна функция «Скрыть e-mail»
Функция «Скрыть e-mail» доступна по платной подписке iCloud+. С её помощью пользователь получает случайные адреса электронной почты: письма, отправленные на такой адрес, приходят на основной ящик, а сам основной адрес остаётся скрытым. Случайный адрес не содержит имени и по написанию не связан с настоящим, поэтому его удобно указывать при регистрации на сайтах, оформлении рассылок или в переписке с малознакомыми адресатами. Управление адресами и настройка переадресации доступны по пути Настройки -> имя учётной записи -> iCloud -> «Скрыть e-mail».
iCloud+ — платная подписка Apple, которая помимо расширенного хранилища включает функции для защиты конфиденциальности: «Скрыть e-mail», «Частный узел» (iCloud Private Relay) и поддержку собственного почтового домена.
Смысл функции — в изоляции: если случайный адрес попадёт в спам-базу или утечку данных, его достаточно деактивировать, тогда как компрометация основного адреса, к которому привязана учётная запись Apple, обошлась бы дороже. Из-за уязвимости это преимущество исчезает: по случайному адресу удаётся выйти на настоящий.
Что обнаружили в EasyOptOuts
Уязвимость нашли в сервисе EasyOptOuts, который удаляет персональные данные пользователей с сайтов-брокеров. По словам соучредителя сервиса Тайлера Мёрфи, в ограниченных тестах с добровольцами раскрыть настоящий адрес удалось для всех проверенных адресов «Скрыть e-mail» — 100% случаев.
Издание 404 Media проверило проблему самостоятельно. Журналист Джозеф Кокс создал новый адрес «Скрыть e-mail» и передал его Мёрфи; примерно через пять минут тот прислал в ответ настоящий адрес, привязанный к учётной записи Apple журналиста. Технические детали уязвимости ни в EasyOptOuts, ни в 404 Media не раскрывают: она остаётся рабочей, и публикация способа воспроизведения повысила бы риск злоупотреблений.
Что отвечала Apple на сообщения об уязвимости
Хронологию обращений в EasyOptOuts опубликовали отдельно. Из неё следует, что Apple несколько раз сообщала об устранении проблемы, но проверки этого не подтверждали.
- — в EasyOptOuts обнаружили уязвимость и передали Apple отчёт с инструкциями по воспроизведению. Apple ответила, что по своему устройству функция не должна позволять раскрывать скрытый адрес, и запросила подробности.
- — по тем же инструкциям в EasyOptOuts перепроверили функцию и убедились, что уязвимость не устранена.
- — в EasyOptOuts пришли к выводу, что масштаб и опасность уязвимости больше, чем предполагалось изначально, и сообщили об этом Apple. Ответа на это сообщение не последовало.
- — Apple снова заявила об устранении уязвимости и попросила это проверить. В EasyOptOuts установили, что проблема сохраняется.
Чем опасно раскрытие скрытого адреса
Само по себе раскрытие одного адреса кажется мелочью, но Мёрфи указывает на более широкий риск. Общедоступные сайты для поиска людей позволяют по адресу электронной почты быстро собрать связанные с ним персональные данные, поэтому те, кто использует «Скрыть e-mail» ради безопасности или анонимности, могут оказаться под ударом. Как только скрытый адрес удаётся сопоставить с настоящим, вся защита, ради которой он создавался, теряет смысл.
Объединение адресов на домене private.icloud.com
Параллельно Apple меняет устройство адресов пересылки. компания объявила об объединении доменов для функций «Скрыть e-mail» и «Вход с Apple» под общим доменом private.icloud.com; переход запланирован на лето 2026 года, точную дату Apple не называла. Сейчас адреса «Входа с Apple» выдаются на домене privaterelay.appleid.com, а «Скрыть e-mail» — на icloud.com. Ранее созданные адреса продолжат работать и пересылать почту без перебоев.
Вход с Apple (Sign in with Apple) — способ регистрации и входа в приложения и на сайты через учётную запись Apple, при котором настоящий адрес электронной почты можно скрыть за случайным адресом пересылки.
Часть пользователей раскритиковала это решение: выделенный поддомен private.icloud.com проще заблокировать на стороне сайта, чем общий icloud.com, а значит, регистрацию с адресов «Скрыть e-mail» будет легче отклонять. С уязвимостью раскрытия адресов это изменение напрямую не связано.
Что делать пользователям «Скрыть e-mail»
Готового способа проверить свой адрес или закрыть уязвимость у пользователей нет: детали уязвимости не раскрываются, а исправления от Apple пока не вышло. В EasyOptOuts рекомендуют компании временно отключить создание новых адресов «Скрыть e-mail» и уведомить всех пользователей функции о риске.
До выхода исправления имеет смысл исходить из того, что скрытый адрес может оказаться раскрытым, и учитывать это там, где конфиденциальность особенно важна.
Заключение
Из-за уязвимости основное обещание «Скрыть e-mail» — держать настоящий адрес в тайне — перестаёт выполняться. Особенно это важно для тех, кто заводил отдельные случайные адреса под каждый сервис ради изоляции утечек: раскрытие одного адреса открывает путь к настоящему. Пока Apple не выпустит исправление и не подтвердит его независимой проверкой, полагаться на функцию как на надёжную защиту анонимности не приходится.