404 Media：iCloudの「メールを非表示」に脆弱性、ユーザーの実際のメールアドレスが漏洩
iCloudの「メールを非表示（Hide My Email）」機能に脆弱性が見つかり、本来隠されるはずの実際のメールアドレスが漏洩する可能性があることが明らかになった。脆弱性を発見したEasyOptOutsは1年以上前にAppleに報告していたが、未だ修正されていない。同社のテストでは、対象となった非表示メールアドレスの100%が悪用可能だったという。
背景メモ
- **「Hide My Email」とは**: Apple iCloud+ の機能で、サイトごとにランダムな転送用メールアドレスを生成し、本来のアドレスを隠して登録できるプライバシー機能。Sign In with Apple にも同様の仕組みが使われている。
- **今回の脆弱性**: 2024年前半にプライバシーツール「EasyOptOuts」社が発見・報告し、1年以上放置されている。攻撃者は隠しアドレスから本来のアドレスを100%復元可能。404 Media が実証済み。
- **なぜ問題か**: 「絶対に漏れない」という前提でユーザーは本アドレスを秘匿しているため、漏洩するとスパムやフィッシング、アカウント特定などのリスクが生じる。1年放置はセキュリティ対応の重大な失敗。
- **背景**: Apple は2026年6月、Hide My Email と Sign in with Apple のドメイン統合を発表している。この脆弱性との因果関係は不明だが、ドメイン移行の理由の一つだった可能性も推測されている。