La función “Ocultar mi correo electrónico” de Apple se ve afectada actualmente por una vulnerabilidad sin parchear que permite a los atacantes descubrir la dirección de correo real detrás de un alias anonimizado, según el investigador Tyler Murphy y pruebas independientes de 404 Media.

Ocultar mi correo electrónico de Apple, que forma parte de iCloud+, genera direcciones de retransmisión únicas diseñadas para mantener privada tu bandeja de entrada principal durante los registros en sitios web y aplicaciones.

Según Murphy, cofundador de EasyOptOuts, un fallo en este mecanismo permite que casi cualquier persona con habilidades técnicas limitadas descubra la dirección de correo real subyacente que debería permanecer oculta.

Vulnerabilidad de ‘Ocultar mi correo electrónico’ de Apple

404 Media informa que el problema fue validado con una de sus propias direcciones ocultas y seguía siendo explotable hasta el lunes, más de un año después de que se informara por primera vez a Apple.

EasyOptOuts descubrió la vulnerabilidad y proporcionó a Apple instrucciones detalladas de reproducción hace más de un año, de acuerdo con las prácticas estándar de divulgación responsable. A pesar de esto, Apple no ha implementado una solución ni ha comunicado medidas de mitigación a los usuarios afectados, dejando la debilidad activa en los servicios de producción.

Dado que el error sigue siendo explotable, 404 Media y Murphy han optado por una divulgación parcial: advertir al público mientras retienen los pasos exactos de explotación para evitar abusos triviales.

Ocultar mi correo electrónico es ampliamente utilizado por usuarios preocupados por su privacidad que confían en el ecosistema de Apple para compartimentar sus identidades en diversos servicios y reducir el seguimiento y el spam.

La vulnerabilidad socava ese límite de confianza al convertir alias supuestamente opacos en seudónimos débiles que pueden resolverse hasta llegar al buzón real, aumentando el riesgo de phishing dirigido, correlación de spam y desanonimización de cuentas vinculadas a actividades sensibles.

Debido a que la explotación no requiere privilegios elevados ni acceso interno, el modelo de amenaza se extiende a atacantes ordinarios que pueden enumerar o sondear sistemáticamente las direcciones de Ocultar mi correo electrónico.

“Informamos del problema y las instrucciones de replicación a Apple hace más de un año. No sabemos por qué no se ha solucionado, pero no nos sentimos cómodos esperando más tiempo”, dijo Murphy a 404 Media, subrayando que los usuarios de Ocultar mi correo electrónico “merecen saber que es posible que los atacantes descubran sus direcciones de correo ocultas”.

La decisión resalta una tensión creciente entre el silencio del proveedor y la necesidad de una transparencia accionable en las herramientas de privacidad del consumidor. Hasta que Apple solucione el fallo, si eres periodista, activista u otro usuario de alto riesgo, deberías tratar los alias de Ocultar mi correo electrónico como vinculables a tu identidad de correo real y ajustar tu seguridad operativa en consecuencia.