Apple、メール保護機能の脆弱性を修正

Apple は、Hide My Email の機能に存在する脆弱性を修正したと発表した。この脆弱性により、本来保護されるべきユーザーの実在のメールアドレスを、事実上誰でも特定できてしまう状態になっていた。

Apple はこの問題について 1 年以上前から把握していたにもかかわらず、7 月初めに 404 Media が報じたのをきっかけにようやく修正を行った。

今回のニュースは、同様の脆弱性を巡って Apple を相手取った集団訴訟が提起されたこととも関連している。

水曜日、Apple は 404 Media に対し、7 月 3 日に本件のパッチを適用したと回答。同社はこれで問題が完全に解決されたと説明している。

Hide My Email は、有料の iCloud+ プランに含まれる機能だ。ユーザーはこれを使って、すぐに新しい匿名メールアドレスを作成し、ウェブサイトやサービスの登録、あるいは他人へのメール送信に利用できるようになる。生成されたアドレスは通常、2 つのランダムな単語に数字を付加し、@icloud.com ドメインを付けた形式となる。

私はこの機能を頻繁に利用しているが、データ侵害が発生した際にも、ハッカーが私の活動やアカウントを他と照合して特定する難易度を高めることができるためだ。



このようなプライバシーに関する他の問題をご存知ですか？ぜひ教えてほしい。仕事用の端末ではなく、非業務用のデバイスから Signal で joseph.404 までメッセージを送るか、joseph@404media.co 宛てにメールをいただければ幸いだ。

EasyOptOuts の共同創業者であるタイラー・マーフィー氏は、Hide My Email ユーザーの実際のメールアドレスを特定できることを発見しました。当時、マーフィー氏は「問題の全容は不明だが、ボランティアを使った限定的なテストでは、Hide My Email アドレスの 100% が悪用可能だった」と述べています。その中には私自身も含まれており、実際に検証を行いました。

マーフィー氏がこの問題を Apple に報告したのは 2025 年 6 月でした。その後数ヶ月にわたり、Apple は調査中と回答し、修正済みだと発表しました。しかしマーフィー氏は依然として悪用可能であることを確認し、再度調査を求めました。Apple が根本的な解決に至らない可能性があると判断したマーフィー氏は、Apple が脆弱性を把握してから約 1 年後の現在、404 Media に連絡を取りました。

数週間前に 404 Media がこの問題を初めて報じた際、悪用方法を詳細に記述しませんでした。それは Apple がまだ修正を行っていなかったためです。もし具体的な手法を公開すれば、第三者がその仕組みを解明して悪用し、人々の実際のメールアドレスを暴露する恐れがあったからです。

Apple は今回の脆弱性が修正されたと発表しています。簡単に言えば、対象となる「Hide My Email」ユーザーにスパムとして拒否されたメッセージを送信する必要がありました。

「隠されたメールアドレスがメールログに漏洩した頻度は不明です。多くの主要なメールホストでは、正当なメールであっても自動的にスパムとして拒否されるだけで漏洩が発生しました。こうしたメールは受信トレイには届かないため、スパムフォルダを確認して自分が影響を受けたかどうかを調べることはできません」と、Murphy 氏と EasyOptOut の共同創設者である Ben Weiner 氏は新しい声明で述べています。

「Apple の Hide My Email で隠されたメールアドレスが送信者に漏洩する原因となったバグは修正されました。しかし、Hide My Email ユーザーに対するリスクが完全に消えたとは考えていません。悪意のないメールでもバウンス（返送）して隠されたアドレスが露呈する可能性がある上、メール転送ログは長期間保持されることが多いため、2026 年 7 月 7 日以前に作成された Hide My Email アドレスに関連付けられたすべての隠されたメールアドレスが既に漏洩し、第三者のログに残っている可能性が高いと推測しています」と続けています。

PCMag の報道によると、Apple に対する集団訴訟では、この機能のために顧客が支払った購読料金の全額返還を求めるとともに、Apple の「欺瞞的な行為」に対して差し止め命令を出すことを求めています。