Конфиденциальность данных стала одним из главных рыночных преимуществ Apple, превратив приватность в премиальный продукт. Однако даже самые продуманные инструменты маскировки могут оказаться бессильны перед базовыми ошибками сетевых протоколов. Недавний инцидент с функцией Hide My Email показал, насколько хрупким может быть барьер между случайным алиасом и реальной личностью пользователя. Эта история о том, как техническая недоработка превратила инструмент защиты в источник утечки персональных данных.
Функция Hide My Email, интегрированная в подписку iCloud+, задумывалась как надежный щит между пользователем и цифровым миром. Ее принцип работы прост и элегантен: система создает уникальные адреса-посредники, которые пересылают почту на основной ящик владельца, не раскрывая его истинного местоположения в сети. Для сторонних сервисов и приложений пользователь остается анонимным, скрытым за случайной комбинацией символов. Однако на практике эта стена оказалась проницаемой.
Проблема была обнаружена исследователями из сервиса EasyOptOuts летом 2025 года. В ходе анализа работы системы выяснилось, что механизм пересылки сообщений содержит критическую уязвимость, связанную с обработкой ошибок протокола SMTP. Когда письмо, отправленное на алиас Hide My Email, отклонялось сервером как спам, система генерировала стандартное сообщение об ошибке. Парадокс заключался в том, что в тексте этого уведомления — конкретно в описаниях SMTP-ошибок с кодами 550 или 552 — содержался настоящий адрес электронной почты получателя.
Технически это означало, что любому отправителю было достаточно знать случайный алиас и спровоцировать отклонение письма, чтобы получить доступ к реальным данным пользователя. Эта информация автоматически фиксировалась в журналах почтовых серверов или платформах для массовых рассылок, превращая инструмент анонимизации в инструмент деанонимизации. Исследователи подтвердили эффективность этого метода, успешно раскрыв все адреса в своей тестовой выборке.
Процесс устранения уязвимости стал настоящим испытанием для инженерного отдела Apple. Первое уведомление о проблеме поступило 11 июня 2025 года, вслед за которым был предоставлен детальный сценарий атаки. Однако путь к исправлению оказался тернистым: в марте 2026 года компания заявила об устранении ошибки, но повторные тесты показали, что уязвимость сохраняется. Аналогичный сценарий повторился и в конце июня того же года — официальные заявления о фиксе вновь опровергались практикой.
Лишь после того как информация о проблеме стала публичной и попала в СМИ, ситуация сдвинулась с мертвой точки. К середине июля 2026 года независимые тесты подтвердили, что утечка прекратилась, а спустя неделю Apple официально подтвердила выпуск исправления.
Несмотря на то что техническая дыра закрыта, последствия инцидента остаются долгосрочными. Главная проблема заключается в природе почтовых логов: многие компании хранят историю SMTP-транзакций месяцами и даже годами. Это означает, что данные, которые успели утечь до 7 июля 2026 года, по-прежнему находятся в распоряжении третьих лиц. В результате все постоянные адреса, связанные с алиасами Hide My Email, созданными до этой даты, следует считать потенциально скомпрометированными.
Развитие открытого анализатора трафика Sniffnet
