Morten Lyhne Petersen
En sikkerhedsfejl i Apples privatlivsfunktion afslører brugernes rigtige emailadresser.
Fejlen har været kendt af Apple i over et år, men er endnu ikke rettet. I test lykkedes det at trække samtlige kontrollerede alias-adresser tilbage til den rigtige indbakke, de skulle skjule.
Sikkerhedsforskeren Tyler Murphy, medstifter af databeskyttelsestjenesten EasyOptOuts, rapporterede fejlen til Apple i juni 2025. Ifølge Murphy kan en angriber med begrænset teknisk indsigt spore et Hide My Email-alias tilbage til den rigtige emailadresse, som funktionen skal beskytte.
Fejlen har været kendt i over et år
Apple bekræftede modtagelsen af rapporten i juli 2025 og oplyste, at man ville undersøge sagen. I marts 2026 meldte selskabet, at problemet var løst i en systemændring, men Murphy konstaterede kort efter, at fejlen bestod. I slutningen af maj lovede Apple en rettelse “inden for de kommende uger”, uden at det er sket.
Historien blev offentliggjort af TechCrunch onsdag den 1. juli, og redaktionen verificerede sårbarheden på deres egen Hide My Email-adresse. De tekniske detaljer holdes tilbage, mens fejlen fortsat kan udnyttes.
“Hide My Email-brugere fortjener at vide, at det kan være muligt for angribere at afsløre deres skjulte emailadresser,” sagde Tyler Murphy i forbindelse med offentliggørelsen.
Hvad det betyder for danske iCloud+-brugere
Hide My Email er en del af det betalte iCloud+-abonnement og genererer tilfældige alias-adresser, der viderestiller mails til brugerens rigtige indbakke. Funktionen bruges ofte ved oprettelse af konti hos hjemmesider og apps og er markedsført som beskyttelse mod spam, datalæk og sporing.
I Murphys egne test var 100 procent af de kontrollerede alias-adresser sårbare. Han advarer om, at offentligt tilgængelige søgetjenester efterfølgende kan koble en afsløret adresse sammen med navn, bopæl og andre personoplysninger.
Sådan begrænser du risikoen indtil videre
Apple har ikke udsendt en officiel vejledning til brugerne, og TechCrunch har ikke modtaget svar på henvendelser om sagen. Så længe fejlen består, bør iCloud+-abonnenter overveje følgende:
-
Brug ikke Hide My Email til nye tjenester, hvor privatlivet er kritisk, for eksempel til whistleblower-platforme eller anonym kildekontakt.
-
Deaktivér eksisterende aliasser knyttet til følsomme tjenester og skift til en adresse hos en anden udbyder.
-
Vær ekstra opmærksom på phishing-forsøg, der rammer den rigtige indbakke via et lækket alias.
Angrebet kræver ifølge den offentliggjorte beskrivelse hverken særlige rettigheder eller insiderviden, hvilket betyder, at almindelige brugere i princippet kan afprøve det systematisk. Journalister, aktivister og andre med et højt trusselsbillede bør indtil videre betragte deres aliasser som mulige spor tilbage til den rigtige adresse.
