Apple krijgt vandaag kritiek door een privacyprobleem in Hide My Email, de iCloud+-functie die juist bedoeld is om je echte e-mailadres uit beeld te houden. Volgens securityonderzoeker Tyler Murphy zit er een kwetsbaarheid in Apple Hide My Email waarmee een aanvaller alsnog het werkelijke adres van een gebruiker kan achterhalen.
Dat ligt extra gevoelig, omdat Tyler Murphy zegt dat hij de bug al ruim een jaar geleden bij Apple heeft gemeld en dat die nog steeds niet helemaal zou zijn verholpen. Apple zou de melding hebben erkend en op een bepaald moment zelfs hebben laten weten dat het probleem was opgelost, maar volgens Tyler Murphy bestaat de kwetsbaarheid nog altijd.
Apple Hide My Email-lek raakt de kern van de privacyfunctie
Hide My Email hoort bij iCloud+ en laat gebruikers willekeurige e-mailaliassen aanmaken. Berichten die naar zo’n alias worden gestuurd, komen daarna gewoon in de inbox van de gebruiker terecht.
Het idee is eenvoudig: websites, apps en webshops krijgen niet je echte e-mailadres te zien. Dat moet spam beperken en je online identiteit beter afschermen.
Precies daarom komt deze bug zo hard aan. Als een aanvaller het echte e-mailadres achter zo’n alias kan achterhalen, valt een belangrijk stuk van die bescherming weg.
Tyler Murphy is medeoprichter van EasyOptOuts en waarschuwt dat zo’n e-mailadres via publiek toegankelijke mensenzoeksites vaak aan andere persoonsgegevens te koppelen is. Voor mensen die extra voorzichtig moeten omgaan met hun identiteit of locatie kan dat, zegt hij, een serieus veiligheidsrisico zijn.
Ontdekt in juni 2025, maar nog steeds niet opgelost
Volgens Tyler Murphy heeft hij de kwetsbaarheid in juni 2025 bij Apple gemeld. Apple zou de melding hebben bevestigd en later hebben aangegeven dat het lek was aangepakt.
Toch zegt Murphy dat het probleem in de praktijk nog altijd reproduceerbaar is.
De exacte technische methode is niet openbaar gemaakt. Waarschijnlijk is dat een bewuste keuze, om misbruik op grotere schaal te voorkomen.
Daardoor blijft het, buiten Apple en Tyler Murphy, onduidelijk hoe breed deze kwetsbaarheid misbruikt kan worden en onder welke omstandigheden die precies werkt.
Mogelijk groot bereik onder iPhone-gebruikers
De impact kan groot zijn, al is het maar omdat Hide My Email veel wordt gebruikt. In onderzoek uit 2023 waarnaar wordt verwezen, stond dat 55 procent van de iOS Mail-gebruikers de functie had ingeschakeld.
Als dat beeld nog een beetje klopt, gaat het om een enorme groep gebruikers die erop vertrouwt dat hun echte adres verborgen blijft.
Dat maakt ook de communicatie rond dit lek gevoelig. Een privacyfunctie die deels te omzeilen is, raakt niet alleen de veiligheid, maar ook het vertrouwen in Apple’s bredere verhaal over privacy.
Nieuwe aliasdomeinen roepen nieuwe vragen op
Ondertussen wil Apple nieuwe Hide My Email-adressen onderbrengen op het domein @private.icloud.com, in plaats van op het bekendere @icloud.com. Critici vrezen dat zulke aliassen daardoor juist makkelijker te herkennen zijn voor websites en diensten, die ze daarna kunnen blokkeren of anders behandelen.
Daar komt nog iets bij: Hide My Email heeft nooit volledige anonimiteit beloofd. Eerdere berichtgeving liet al zien dat Apple, als er een geldig juridisch verzoek ligt, gebruikersinformatie kan delen met opsporingsinstanties.
Het blijft dus in de eerste plaats een privacytool tegen trackers, dataverzamelaars en spam, en geen waterdicht schild tegen elke vorm van identificatie.
