Sårbarhed i Apple Hide My Email afslører stadig brugernes rigtige e-mailadresser

En Apple Hide My Email-sårbarhed kan gøre det muligt for angribere at afsløre brugernes rigtige e-mailadresser. Det siger en sikkerhedsforsker, som mener, at Apple stadig ikke har løst problemet fuldt ud, selv om der er gået mere end et år, siden virksomheden modtog den første rapport. Apple hævdede tidligere, at fejlen var rettet, men ifølge forskeren er brugerne fortsat i fare.

Sikkerhedsforsker opdagede sårbarheden

Apple udviklede Hide My Email for at hjælpe brugerne med at beskytte deres rigtige e-mailadresser. Funktionen opretter unikke e-mailaliaser, som videresender beskeder til brugerens primære indbakke. På den måde kan brugerne tilmelde sig hjemmesider, nyhedsbreve og onlinetjenester uden at afsløre deres rigtige e-mailadresse.

Sikkerhedsforskeren Tyler Murphy, medstifter af EasyOptOuts, opdagede imidlertid en sårbarhed, som kan afsløre den rigtige e-mailadresse bag et af disse aliaser.

Murphy rapporterede fejlen til Apple og ventede i mere end et år på en permanent løsning. Efter gentagne forsinkelser valgte han at offentliggøre problemet, fordi han ikke længere mente, det var forsvarligt at vente.

Apple anerkendte rapporten, men problemet består

Murphy kontaktede Apple første gang i juni 2025, og virksomheden bekræftede, at den var i gang med at undersøge rapporten.

I marts 2026 meddelte Apple Murphy, at en nylig systemændring havde løst problemet.

Murphy fortsatte dog med at teste funktionen og konstaterede, at sårbarheden stadig eksisterede. Apple fortsatte sin undersøgelse frem til maj og bad samtidig Murphy om ikke at offentliggøre oplysninger om fejlen, mens arbejdet stod på.

Teknologimediet 404 Media bekræftede også sårbarheden, men valgte ikke at offentliggøre de tekniske detaljer, som kunne misbruges af angribere, mens Apple fortsatte arbejdet med en løsning.

Apple planlægger endnu en sikkerhedsopdatering

Efter yderligere dialog med Murphy oplyste Apple, at virksomheden i stedet ville rette sårbarheden i en kommende sikkerhedsopdatering.

Da rapporten blev offentliggjort, havde Apple stadig ikke udsendt en komplet løsning, selv om virksomheden tidligere havde oplyst, at problemet allerede var løst.

Den fortsatte forsinkelse rejser derfor nye spørgsmål om pålideligheden af en af Apples vigtigste privatlivsfunktioner.

Nyt domæne kan skabe kompatibilitetsproblemer

Apple planlægger også at forenkle sine e-mailbaserede privatlivstjenester ved at flytte både Hide My Email og Sign in with Apple til det nye underdomæne @private.icloud.com.

I dag benytter virksomheden domænerne @icloud.com og @privaterelay.appleid.com til disse tjenester.

Ændringen skal gøre systemet mere ensartet, men den kan samtidig skabe nye udfordringer. Nogle hjemmesider og onlinetjenester kan afvise e-mailadresser fra det nye domæne, hvilket kan gøre funktionen mindre anvendelig i hverdagen.

Brugerne bør ikke stole fuldt ud på funktionen

Den fortsatte Apple Hide My Email-sårbarhed viser, at privatlivsfunktioner kræver løbende sikkerhedstests og hurtige opdateringer for at yde effektiv beskyttelse. Apple har ganske vist anerkendt problemet og lovet flere opdateringer, men Murphys undersøgelser tyder på, at Hide My Email stadig ikke skjuler brugernes rigtige e-mailadresser i alle situationer. Indtil Apple udsender en permanent løsning, bør brugerne betragte funktionen som et ekstra lag af privatliv – ikke som en komplet beskyttelse.