A Apple resolveu uma vulnerabilidade crítica na funcionalidade Ocultar o Meu E-mail, uma ferramenta de privacidade integrada nos planos pagos do iCloud+. O problema permitia que atacantes descobrissem a verdadeira identidade digital dos utilizadores, anulando o propósito do serviço que gera endereços anónimos para registos em plataformas terceiras. De acordo com os detalhes avançados pelo 404 Media, a falha de segurança foi corrigida apenas após a exposição pública do caso na imprensa.
Mensagens de spam revelavam endereços protegidos
A falha foi originalmente detetada por Tyler Murphy, cofundador da EasyOptOuts, em junho de 2025. Embora a gigante tecnológica tenha afirmado várias vezes ter solucionado o problema nas comunicações que manteve com o especialista, a vulnerabilidade permaneceu ativa até à intervenção dos órgãos de comunicação social.
O mecanismo técnico que causava a exposição ocorria nos registos de transferência de mensagens. Quando um correio eletrónico legítimo ou indesejado enviado para o endereço anónimo era automaticamente rejeitado como spam pelos servidores de alojamento, o sistema gerava uma resposta de erro (bounce). Era precisamente nessa mensagem de rejeição automática que o email real do utilizador ficava exposto e era enviado de volta ao remetente original.
Histórico de dados antigos ainda representa risco
Num comunicado conjunto emitido após a disponibilização da correção, Tyler Murphy e Ben Weiner, também cofundador da EasyOptOuts, deixaram um alerta sério para os utilizadores da Apple. "Não sabemos com que frequência os endereços ocultos foram divulgados nos registos de e-mail", afirmaram os especialistas, lembrando que, como as mensagens bloqueadas não chegavam à caixa de entrada, não é possível analisar a pasta de spam para verificar o impacto.
A Apple confirmou que o patch de segurança foi implementado a 3 de julho, impedindo novas explorações da falha. Contudo, os investigadores sublinham que qualquer endereço associado ao Ocultar o Meu E-mail criado antes de 7 de julho de 2026 corre o risco de ter sido exposto. Como as empresas e servidores de terceiros retêm habitualmente os registos de transferência de dados por longos períodos, as identidades reais dos utilizadores podem ainda constar dessas bases de dados antigas.
Nenhum comentário
Seja o primeiro!