Como informamos no começo deste mês, o 404 Media jogou luz sobre uma grave brecha envolvendo o recurso Ocultar Meu E-mail (Hide My Email), do iCloud+, que poderia expor o endereço que deveria ser mantido em sigilo.
Agora, o mesmo veículo informou que a Apple corrigiu a vulnerabilidade em questão em uma atualização (muito provavelmente remota) lançada em 3 de julho — mais de um ano após ter sido alertada sobre a falha.
Tyler Murphy, cofundador da EasyOptOuts e responsável por relatar a falha à Apple inicialmente, disse ter sido informado de que o caso estava sob investigação. A Apple afirmou a ele que a vulnerabilidade havia sido corrigida em março de 2026, o que não aconteceu. Nos meses seguintes, a Apple disse estar analisando o problema novamente […] por isso, Murphy contatou o 404 Media para tornar o caso público.
Como já informamos, o envio de um email para um usuário que possuía o recurso de privacidade ativado — email esse que acabava sendo rejeitado como spam — fazia com que o endereço real da pessoa aparecesse nos registros do remetente.
O 404 Media confirmou que a vulnerabilidade foi corrigida, mas ainda aponta que os usuários devem ser cautelosos.
A falha que fazia com que o recurso Ocultar Meu E-mail da Apple vazasse endereços ocultos para os remetentes foi corrigida. No entanto, não acreditamos que o risco para os usuários do recurso tenha sido eliminado. Como emails legítimos podiam ser rejeitados (gerando uma devolução ou bounce), revelando seu endereço oculto, e como os registros de transferência de email são frequentemente armazenados, presumimos que qualquer endereço oculto vinculado a um endereço do Ocultar Meu E-mail criado antes de 7 de julho de 2026 pode ter sido exposto e ainda pode constar em registros de terceiros.
A Apple, vale lembrar, já foi alvo até mesmo de uma ação judicial devido à falha, com os autores da ação buscando o reconhecimento de uma ação coletiva. Eles alegam que a Apple violou uma lei da Califórnia sobre publicidade enganosa e outras normas de proteção ao consumidor, pois a empresa sabia que o recurso não funcionava conforme anunciado.