Marcó un correo como spam y recibió el e‑mail de otra persona: Apple corrige una vulnerabilidad en el "correo privado" de iCloud+
La función "Ocultar mi correo" de Apple filtró durante más de un año las direcciones reales de los usuarios.
El servicio, creado para proteger la dirección real de correo electrónico, durante más de un año pudo revelarla a cualquier remitente. Apple cerró la vulnerabilidad en la función «Ocultar mi correo» solo después de que los medios lo informaran, aunque había recibido el primer aviso sobre el problema en junio de 2025.
La función forma parte de la suscripción de pago iCloud+ y crea direcciones aleatorias en el dominio icloud.com. El usuario puede registrarse con ellas en sitios web y recibir mensajes sin revelar la dirección principal. Toda la correspondencia se reenvía automáticamente al buzón real.
El cofundador del servicio EasyOptOuts, Tyler Murphy, descubrió que el remitente podía conocer la dirección oculta del usuario. Cuando comprobó la vulnerabilidad, esta funcionó en todos los casos probados. Según el especialista, el problema afectó al 100% de las direcciones de «Ocultar mi correo» que revisaron los voluntarios.
Para revelar la dirección real bastaba con enviar un correo que el sistema de correo rechazaba como no deseado. En el mensaje de error o en los registros de reenvío podía aparecer la dirección que la función debía ocultar. A veces el correo se bloqueaba automáticamente y ni siquiera llegaba a la carpeta de spam, por lo que el usuario no podía comprobar si alguien intentó obtener sus datos.
Murphy informó a Apple sobre la vulnerabilidad en junio de 2025. La compañía declaró en varias ocasiones que investigaba el problema o que ya lo había solucionado, pero cuando se revisó de nuevo el resultado seguía siendo el mismo. Aproximadamente un año después, el especialista recurrió al medio 404 Media, que contó el error a principios de julio, pero no divulgó los detalles técnicos hasta que se publicó la corrección.
Apple informó que eliminó completamente la vulnerabilidad el 3 de julio de 2026. No obstante, los especialistas de EasyOptOuts creen que las consecuencias pueden persistir. Los servicios de correo suelen conservar durante mucho tiempo los registros de reenvío, por lo que las direcciones reales de los usuarios podrían permanecer en los sistemas de empresas externas.
Los autores del hallazgo aconsejan considerar potencialmente expuestas todas las direcciones reales vinculadas a los alias creados antes del 7 de julio de 2026. En la declaración no se especifica por qué se eligió esa fecha.
Después de la publicación del artículo, contra Apple también se presentó un demanda colectiva. Los demandantes exigen devolver el coste de la suscripción a los usuarios que pagaron por la función de protección de la dirección y prohibir que la compañía engañe a los clientes sobre su seguridad.