Appleの「メールを非表示」脆弱性により、ユーザーの実際のメールアドレスが明らかに
Appleの「メールを非表示」機能に脆弱性が発見され、ユーザーの実際のメールアドレスが第三者に漏洩する可能性があることが明らかになった。この問題を報告したセキュリティ研究者の指摘により、Appleは現在修正に取り組んでいる。
背景メモ
・Appleの「Hide My Email」は、ユーザーに代わってランダムな転送用メールアドレスを生成し、本物のアドレスをサービス側に隠すプライバシー機能(iCloud+サブスクリプションで利用可能)。
・今回の脆弱性は、この転送用アドレスが「user@icloud.com」という本物のアドレス宛のメールを転送する際、メールヘッダーに本来隠されるべき本物のアドレスが残ってしまうという設計上の問題。受信者がヘッダーを表示すれば実アドレスが丸見えになる。
・この問題はAppleのメール転送システムの仕様に起因し、ユーザー側では回避不可能。Appleは現時点で修正を発表していない。
・似たような機能としては、Googleの「ログイン用仮名メール」やFastmailの「Masked Email」などがあるが、今回のような転送元アドレス漏洩は通常想定されていない。