Apple ha corretto una falla di privacy in Hide My Email, ma il punto essenziale per gli utenti è semplice: se hai creato un alias prima della correzione, verifica che il tuo indirizzo di inoltro sia ancora quello corretto e controlla le impostazioni del tuo account. Il problema riguardava una situazione specifica in cui un messaggio inviato a un indirizzo mascherato poteva far comparire l’email reale nei registri del servizio di posta, vanificando in parte la promessa di riservatezza della funzione.[1][2]
Hide My Email è una delle funzioni di iCloud+ pensate per proteggere la privacy. Il servizio crea indirizzi email casuali e unici che inoltrano automaticamente i messaggi alla casella personale dell’utente, così da ridurre lo spam e limitare la condivisione dell’indirizzo principale.[15] La funzione è disponibile per gli abbonati a iCloud+ ed è stata presentata da Apple nel 2021 come uno strumento per separare la posta reale dai contatti usati su siti, app e registrazioni online.
Secondo le informazioni emerse, Apple ha distribuito una correzione il 3 luglio 2026 e ha indicato che il problema è ora completamente risolto.[2][3] La vulnerabilità era stata segnalata ad Apple nel giugno 2025 e, nel frattempo, l’azienda aveva tentato più di una volta di sistemarla senza successo prima del fix definitivo.[1][5]
Il cuore del difetto era tanto semplice quanto delicato. In alcune circostanze, l’invio di un messaggio verso un indirizzo Hide My Email poteva generare un rifiuto come spam e, proprio durante quel passaggio, far emergere nei log l’indirizzo email reale collegato all’alias.[1] Non si trattava necessariamente di un’esposizione visibile nella posta in arrivo dell’utente: il rischio stava nei registri di trasporto della posta, dove informazioni interne al processo di consegna potevano contenere il dato sensibile.[1]
Questo aspetto rende il problema meno evidente per gli utenti comuni. Un messaggio respinto come spam spesso non arriva mai nella casella principale né in una cartella facilmente consultabile, quindi chi è coinvolto non ha sempre modo di accorgersi dell’eventuale esposizione.[1] In pratica, l’utente poteva continuare a usare normalmente l’alias senza sapere che, in determinate condizioni, il suo indirizzo reale fosse comparso nei log di alcuni sistemi di posta.
La correzione elimina il comportamento alla base della falla, ma resta una considerazione importante: gli indirizzi Hide My Email creati prima del 7 luglio 2026 potrebbero essere stati registrati nei log di trasporto della posta se in passato un messaggio legittimo è stato respinto come spam.[1] Per questo motivo, chi usa la funzione da tempo dovrebbe considerare un controllo prudente delle proprie impostazioni e valutare l’eventuale rotazione degli alias più sensibili.
La vicenda arriva in un momento delicato anche sul fronte legale. Apple deve infatti affrontare una class action che accusa l’azienda di aver presentato Hide My Email come una funzione di privacy più solida di quanto non fosse realmente, pur facendola pagare all’interno di iCloud+.[2] Nella causa si sostiene che Apple fosse a conoscenza del problema da oltre un anno e che non abbia sospeso il servizio, avvisato in modo chiaro gli utenti o corretto le proprie dichiarazioni sulla privacy in tempi adeguati.[2]
Per gli utenti, il dato pratico resta uno solo: il problema annunciato è stato sistemato, ma la prudenza non è eccessiva quando si parla di email private, alias e inoltro automatico. Se utilizzi Hide My Email per registrazioni importanti, servizi bancari, account di lavoro o newsletter, vale la pena controllare con regolarità che l’alias sia ancora attivo e che l’indirizzo di destinazione sia quello previsto.
Inoltre, se hai notato che un alias non riceve più messaggi, non dare per scontato che la causa sia collegata a questa falla. In molti casi i problemi di inoltro dipendono da impostazioni errate, filtri anti-spam dei siti mittenti, modifiche al forwarding o disattivazione accidentale dell’alias.[15] Verificare questi elementi rimane il primo passo utile prima di concludere che esista un’anomalia più seria.
Per chi vuole mantenere un livello alto di riservatezza, la pratica più efficace è combinare più misure: usare alias diversi per servizi diversi, aggiornare gli indirizzi di inoltro quando necessario, controllare periodicamente gli account connessi ad Apple ID e sostituire gli alias più esposti quando si teme che possano essere finiti in registri interni o sistemi terzi.
Technical Deep Dive
La falla riguardava il comportamento di Hide My Email in relazione ai sistemi di posta che rifiutano i messaggi classificandoli come spam.[1] In questo scenario, la generazione di log lato server poteva includere l’indirizzo reale associato all’alias, trasformando un alias progettato per nascondere l’identità dell’utente in un punto di esposizione indiretta.[1]
Dal punto di vista tecnico, il problema non implicava necessariamente una compromissione del contenuto della mail o l’accesso diretto alla casella dell’utente. Il rischio era più sottile: la perdita di riservatezza avveniva durante il processo di smistamento e rifiuto del messaggio, cioè in una fase di trasporto in cui i sistemi di posta registrano metadati e motivazioni di consegna.[1] Questo tipo di esposizione è particolarmente insidioso perché può avvenire anche con messaggi legittimi classificati erroneamente come spam.[1]
Apple ha affermato di aver distribuito una patch il 3 luglio 2026 e di aver risolto completamente il problema.[2][3] Tuttavia, gli alias creati prima del fix possono aver lasciato tracce nei log di sistemi di terze parti, soprattutto quando il traffico veniva respinto automaticamente.[1] In un’ottica di difesa pratica, gli amministratori e gli utenti avanzati dovrebbero considerare la possibilità di reimpostare gli alias più delicati, ridurre l’uso di indirizzi riutilizzati su più servizi e controllare il percorso di forwarding configurato nel pannello iCloud+.[15]
Un altro punto rilevante è la distinzione tra vulnerabilità “visibile” e vulnerabilità “di infrastruttura”. Nel caso di Hide My Email, l’esposizione non richiedeva interazione complessa da parte dell’utente finale, ma dipendeva dal comportamento dei sistemi di posta lungo la catena di consegna.[1] Questo rende il problema più difficile da rilevare con test semplici e spiega perché una correzione abbia richiesto tempo: il difetto poteva manifestarsi in modo intermittente, in base al provider, ai filtri antispam e alle regole di rifiuto dei messaggi.[1][5]
Per gli utenti che gestiscono servizi critici, la raccomandazione più sensata è adottare una segmentazione rigorosa degli alias. Un alias per gli acquisti, uno per i servizi finanziari, uno per le registrazioni occasionali e uno per i test riduce l’impatto di eventuali esposizioni future. In più, la rotazione periodica degli indirizzi nascosti aiuta a limitare la durata di vita di un alias che potrebbe essere finito in log esterni o in database non controllati direttamente dall’utente.
Infine, il caso mostra un limite strutturale delle funzioni di privacy basate su inoltro: proteggono bene l’indirizzo pubblico usato nei moduli online, ma restano dipendenti dal comportamento dei sistemi intermedi. Per questo motivo, in ambienti sensibili, Hide My Email è più efficace come strato di riduzione dell’esposizione che come garanzia assoluta di anonimato.
Fonte: https://thehackernews.com/2026/07/apple-fixes-hide-my-email-bug-that.html
