Une faille dans la fonction « Masquer mon adresse e-mail » d’Apple expose les adresses réelles
Hide My Email, la fonctionnalité d’Apple permettant de masquer les adresses e-mail, présente une vulnérabilité qui permettrait aux utilisateurs de retrouver leur véritable adresse. Un chercheur en sécurité, Tyler Murphy, a affirmé que ses tests ont montré un taux de réussite de 100 % dans l’exploitation de cette faille.
Le principe de Hide My Email consiste à générer une adresse jetable en @icloud.com pour s’inscrire à des services, les messages étant ensuite redirigés vers l’adresse personnelle de l’utilisateur. Cependant, Murphy a découvert qu’il était possible de retracer l’adresse cachée derrière cet alias, une faille qui existerait depuis plus d’un an.
Cette information a été révélée par le média américain 404 Media, qui a vérifié le problème sur ses propres adresses. Murphy, cofondateur d’EasyOptOuts, un service de suppression de données, a déclaré : « Dans nos tests limités avec des volontaires, 100 % des adresses Hide My Email étaient exploitables. » Les détails techniques de la faille n’ont pas été publiés pour éviter des abus.
Une adresse jetable devrait servir de barrière entre l’utilisateur et les sites d’inscription. Si cette barrière est contournable, cela compromet l’objectif initial. Murphy a averti qu’une fois la véritable adresse récupérée, il serait possible de la croiser avec des sites de recherche d’informations, exposant ainsi des données personnelles telles que le nom ou la localisation. Les personnes les plus vulnérables incluent des journalistes, des militants ou des individus harcelés. Pour un usage plus courant, comme la réduction de spam, les conséquences semblent moins graves.
Concernant la gestion de cette vulnérabilité par Apple, Murphy a signalé le bug en juin 2025 avec des instructions pour sa reproduction. Apple a répondu un mois plus tard en indiquant qu’une enquête était en cours. En mars 2026, la société a annoncé avoir corrigé le problème, mais Murphy a confirmé que la faille persistait. En mai, Apple a demandé à Murphy de ne pas divulguer le problème tant que l’enquête n’était pas terminée et a promis un correctif dans une mise à jour de sécurité imminente. Plus d’un an après le signalement initial, le problème reste non résolu.
Bien que Hide My Email ne soit pas présenté comme un outil d’anonymat total, son efficacité dans la protection de la vie privée est mise en question, surtout compte tenu de l’image d’Apple axée sur la confidentialité. En attendant une solution, il est conseillé aux utilisateurs d’utiliser cette fonctionnalité avec prudence, notamment pour les inscriptions sensibles.
Source : Frandroid, 404 Media, TechCrunch.
