A Apple lançou uma correção para resolver uma vulnerabilidade grave na funcionalidade Ocultar o Meu E-mail do iCloud+. O problema permitia revelar o endereço verdadeiro dos utilizadores exatamente o contrário do que a ferramenta promete fazer. A atualização chegou no início de julho, mas só agora se confirma que a falha está completamente resolvida.
O 404Media, que investigou o caso, confirmou que a correção publicada a 3 de julho eliminou a vulnerabilidade. A revelação surge numa altura delicada para a empresa, com uma ação coletiva já em tribunal contra a Apple precisamente devido a este problema de privacidade.
Como funcionava a exploração da falha
O Ocultar o Meu E-mail faz parte da subscrição iCloud+ e gera endereços aleatórios terminados em @icloud.com. A ideia é simples: usar estes endereços descartáveis para te registares em sites e aplicações sem partilhares o teu e-mail principal. Menos spam, mais controlo, e maior dificuldade de associarem diferentes contas tuas caso haja uma fuga de dados numa plataforma qualquer.
A mecânica da vulnerabilidade era mais simples do que se poderia imaginar. Bastava alguém enviar uma mensagem para um dos endereços gerados pela funcionalidade e garantir que essa mensagem seria automaticamente rejeitada como spam. Em algumas situações, a resposta automática devolvida ao remetente incluía o endereço real associado à conta Apple uma informação que deveria estar completamente oculta.
Tyler Murphy, cofundador da EasyOptOuts, uma empresa especializada em remoção de dados, conduziu testes limitados com voluntários. O resultado foi preocupante: todos os endereços analisados podiam ser explorados através desta técnica. O pior é que estas mensagens muitas vezes nem chegavam à caixa de entrada nem à pasta de spam das vítimas, o que torna impossível saber se o teu endereço foi exposto ou não.
A Apple sabia há mais de um ano
Murphy reportou a vulnerabilidade à Apple pela primeira vez em junho de 2025. Passaram-se doze meses, os testes continuaram a demonstrar que a falha persistia, e a correção só chegou agora em julho de 2026. Foi essa demora que levou Murphy a contactar o 404Media, que confirmou a vulnerabilidade de forma independente antes de a divulgar publicamente.
A publicação inicial não revelou os detalhes técnicos da exploração uma decisão tomada para evitar que mais pessoas aprendessem a tirar partido da falha enquanto a Apple não lançava uma solução definitiva.
Endereços antigos podem continuar em risco
Mesmo com a atualização aplicada, a situação pode não estar totalmente resolvida para toda a gente. A EasyOptOuts alerta que endereços criados antes de 7 de julho de 2026 podem já ter sido revelados durante o período em que a falha estava ativa. Esses endereços reais podem continuar guardados em registos técnicos de terceiros muitos serviços mantêm históricos relacionados com o envio e rejeição de mensagens durante meses ou anos.
Para quem usou a funcionalidade em contextos sensíveis ou para proteger a identidade em situações específicas, isto significa que a privacidade pode ter sido comprometida sem qualquer forma de o verificar. Não há notificação, não há registo visível, não há forma simples de saber se o teu endereço verdadeiro acabou nas mãos erradas.
Vale a pena continuar a usar?
A funcionalidade continua a ser útil para reduzir spam e evitar partilhar o e-mail principal diretamente com serviços online. Mas quem a utilizou para fins de proteção de identidade ativismo, denúncias, comunicação sensível deve ter em conta que endereços gerados antes da correção podem ter sido expostos. A ferramenta funciona, mas a falha deixou um rasto que não desaparece com uma simples atualização de software.
Via: 404media
