Apple の「Hide My Email」で実際のメールアドレスが公開されると報告されている

Apple の「Hide My Email」機能は、私のプライバシーとセキュリティの設定に不可欠です。新しいログイン アカウントを作成するほぼ毎回、特にその背後にある会社を完全に信頼していない場合は、実際のメール アドレスを Hide My Email でマスクします。問題の会社が怪しいと判明し、私の電子メール アドレスを販売することを決定したり、データ侵害に見舞われて代わりに漏洩したとしても、心配する必要はありません。彼らは最初から私の本物の電子メールを持っていませんでした。少なくとも、そうすべきではありません。

Hide My Email にはプライバシーとセキュリティの問題があります

404 Media の Joseph Cox 氏が報告したように、Hide My Email には、Hide My Email のエイリアスの背後にある電子メール アドレスが公開される可能性がある脆弱性があります。ここでの詳細は明らかではありませんが、これは仕様によるものです。これはアクティブなセキュリティ上の脆弱性であり、あまりにも多くを明らかにすると悪用がさらに広がる可能性があります。しかし、EasyOptOuts の共同創設者である Tyler Murphy 氏によると、「ほぼ誰でも」この脆弱性を利用して、Hide My Email プロキシの背後にある実際の電子メール アドレスを知ることができます。

Hide My Email がどのように機能するかを知らない場合は、ここで簡単に概要を説明します。 あなたの電子メール アドレスが (電子メールで保護されている) であるとします。どこかで新しいアカウントにサインアップすると、Hide My Email によって「エイリアス」が生成されます。この場合、その機能が (email protected) を思いついたふりをすることができます (ほとんどの場合、次のようになります)。実際の電子メール アドレスではなく、そのエイリアスを使用して新しいアカウントにサインアップすると、そのエイリアス宛てのすべての電子メールが自動的に正規の受信トレイに集められます。機能的には、会社に実際の住所を提供したようなものです。ただし、会社との関係を切断する必要がある場合は、エイリアスを削除するだけで、実際の電子メール アドレスは匿名のままになります。

ここでの問題は、「無料で公的にアクセス可能な人物検索サイト」を通じて、悪意のある攻撃者がエイリアスを通じてあなたの本当の電子メール アドレスを把握できることです。コックス氏は、マーフィー氏とともに調査結果をテストしたと述べた。彼らはマーフィーに Hide My Email エイリアスの 1 つを送信し、5 分以内にマーフィーはコックスの実際のメール アドレスを返信しました。マーフィー氏は、テストは限られていると述べているが、このエクスプロイトは彼が試したすべてのエイリアスで機能したという。これは Hide My Emial のセキュリティにとって良い前兆ではありません。

Apple は Hide My Email エクスプロイトについて知っています

さらに、Apple はこの欠陥について 2025 年 6 月から知っていたようです。マーフィー氏は 1 年以上前にこの脆弱性について同社に連絡したと述べています。 Appleは1か月後に返答し、問題を調査していることを確認した。その後、2026 年 3 月に Apple が返答し、欠陥を修正したと発表しました。

現在7月であることを考えると、そうではなかったのは明らかです。マーフィー氏は Apple に再度連絡し、Hide My Email には依然としてこの脆弱性が存在することを伝えました。 Appleは、再度調査中であると返答し、つい最近5月にも調査が進行中であることを認めた。 Appleは、顧客を危険にさらすことを避けるために、パッチを適用するまで問題を公開しないようマーフィー氏に求めた。しかしマーフィー氏は、リスクを知らずにユーザーがHide My Emailに依存し続けることに抵抗があると語った。

Hide My Email はすでに問題を抱えています

この話は、Apple が Hide My Email を改悪しようとしていると TechCrunch が報じたわずか数週間後に発表された。レポートによると、Apple は Hide My Email エイリアスのドメインを @icloud.com から @private.icloud.com に変更する予定です。これにより、エイリアスを使用していることが誰にでもわかるため、この機能の有効性が大幅に低下します。現時点では、ドメインが同じであるため、エイリアスは一般的な iCloud 電子メール アドレス (おそらく奇妙な名前以外) と区別できません。エイリアス ドメインに「プライベート」というラベルを付けると、人間もボットもこれが実際のアドレスではないことがわかり、アカウント作成時にエイリアスをブロックする可能性があります。

Apple はまだこれらの変更を実際には展開していませんが、どう考えても、Hide My Email は悪い月を迎えています。これらのレポートに基づいてワークフロー全体を見直すつもりはまだありませんが、Apple が適切な措置を講じ、できるだけ早く欠陥にパッチを適用することを願っています。 (そして、念のため、Hide My Email ドメインを変更する計画を中止します。)