Конфіденційність даних перетворилася на одну з ключових ринкових переваг Apple, фактично трансформувавши приватність у преміальний продукт. Проте навіть найдосконаліші інструменти маскування можуть виявитися безсилими перед базовими помилками мережевих протоколів. Недавній інцидент із функцією Hide My Email продемонстрував, наскільки крихким може бути бар'єр між випадковим аліасом та реальною особистістю користувача. Це історія про те, як технічний недолік перетворив інструмент захисту на джерело витоку персональних даних.
Функція Hide My Email, інтегрована в підписку iCloud+, задумувалася як надійний щит між користувачем і цифровим світом. Її принцип роботи простий та елегантний: система створює унікальні адреси-посередники, які пересилають пошту на основну скриньку власника, не розкриваючи його реального місцезнаходження в мережі. Для сторонніх сервісів і застосунків користувач залишається анонімним, прихованим за випадковою комбінацією символів. Однак на практиці ця стіна виявилася проникною.
Вразливість було виявлена дослідниками з сервісу EasyOptOuts влітку 2025 року. Під час аналізу роботи системи з'ясувалося, що механізм пересилання повідомлень містить критичну помилку, пов'язану з обробкою помилок протоколу SMTP. Коли лист, надісланий на аліас Hide My Email, відхилявся сервером як спам, система генерувала стандартне повідомлення про помилку. Парадокс полягав у тому, що в тексті цього сповіщення — зокрема в описах SMTP-помилок із кодами 550 або 552 — містилася справжня електронна адреса одержувача.
З технічного погляду це означало, що будь-якому відправнику було достатньо знати випадковий аліас і спровокувати відхилення листа, щоб отримати доступ до реальних даних користувача. Ця інформація автоматично фіксувалася в журналах поштових серверів або платформах для масових розсилок, перетворюючи інструмент анонімізації на інструмент деанонімізації. Дослідники підтвердили ефективність цього методу, успішно розкривши всі адреси у своїй тестовій вибірці.
Процес усунення вразливості став справжнім випробуванням для інженерного відділу Apple. Перше повідомлення про проблему надійшло 11 червня 2025 року, після чого було надано детальний сценарій атаки. Проте шлях до виправлення виявився тернистим: у березні 2026 року компанія заявила про усунення помилки, але повторні тести показали, що вразливість зберігається. Аналогічний сценарій повторився і наприкінці червня того ж року — офіційні заяви про фікс знову спростовувалися практикою.
Лише після того як інформація про проблему стала публічною та потрапила до ЗМІ, ситуація зрушила з мертвої точки. До середини липня 2026 року незалежні тести підтвердили, що витік припинився, а за тиждень Apple офіційно підтвердила випуск виправлення.
Попри те що технічна діра закрита, наслідки інциденту залишаються довготривалими. Головна проблема полягає в природі поштових логів: багато компаній зберігають історію SMTP-транзакцій місяцями і навіть роками. Це означає, що дані, які успели витекти до 7 липня 2026 року, й надалі перебувають у розпорядженні третіх осіб. Як наслідок, усі постійні адреси, пов'язані з аліасами Hide My Email, створеними до цієї дати, слід вважати потенційно скомпрометованими.
Розвиток відкритого аналізатора мережевого трафіку Sniffnet
