☕️ Après plus d’un an d’attente, Apple bouche une faille de « Hide my Email »
Les alertes envoyées par les chercheurs en sécurité devraient suffire pour que les entreprises fassent le nécessaire et bouchent les failles rapidement. Mais parfois, il faut aussi secouer le cocotier pour qu’elles s’exécutent.
Le service Hide My Email (littéralement « Masquer mon adresse e-mail »), proposé par Apple dans le cadre de son abonnement iCloud+, permet aux utilisateurs de créer des adresses e-mail temporaires et aléatoires lors de l'inscription à des sites ou applications. L'objectif est de protéger leur véritable adresse e-mail des spams ou des fuites de données. Par exemple, si un utilisateur s'inscrit à un site de vente en ligne, il peut générer une adresse du type abc123@icloud.com au lieu de son adresse personnelle prenom.nom@gmail.com. Cette fonctionnalité est particulièrement utile pour éviter que des entreprises ou des pirates ne récupèrent l'adresse principale de l'utilisateur. Elle repose sur un système de redirection : les e-mails envoyés à l'adresse masquée sont automatiquement transférés vers l'adresse réelle de l'utilisateur.
En juin 2025, le chercheur en sécurité Tyler Murphy, travaillant pour l'entreprise EasyOptOut, a identifié une faille dans le service Hide My Email. Cette vulnérabilité permettait de contourner le mécanisme de masquage et de révéler l'adresse e-mail originale d'un utilisateur. Par exemple, en envoyant un message à une adresse masquée et en observant si ce message était rejeté comme spam, un attaquant pouvait déduire l'adresse réelle associée. Apple a été informé de cette faille en mars 2026, mais malgré ses assurances initiales, la faille n'avait pas été corrigée. En mai 2026, Apple a finalement annoncé qu'un correctif était en préparation, mais sans donner de date précise pour son déploiement.
Face au silence prolongé d'Apple, Tyler Murphy a décidé de contacter le média 404media pour rendre publique l'existence de cette faille, sans en révéler les détails techniques afin d'éviter qu'elle ne soit exploitée par des pirates. Cette médiatisation a mis la pression sur Apple, qui a finalement appliqué un correctif début juillet 2026. Cependant, les chercheurs Tyler Murphy et Ben Weiner, cofondateur d'EasyOptOut, estiment que le risque n'est pas totalement écarté. Ils précisent que des e-mails non malveillants pouvaient également être rejetés et révéler l'adresse masquée. Selon eux, toute adresse créée avant le 7 juillet 2026 pourrait avoir été exposée et figurer encore dans des journaux détenus par des tiers, comme les logs des serveurs de messagerie.
Le 17 juillet 2026, une plainte a été déposée en Californie contre Apple. L'entreprise est accusée d'avoir induit en erreur ses clients sur le niveau réel de confidentialité offert par Hide My Email, tout en leur facturant ce service dans le cadre de l'abonnement iCloud+. Les plaignants estiment que les utilisateurs ont payé pour une protection qu'ils n'ont pas reçue, ce qui pourrait constituer une pratique commerciale trompeuse. Cette affaire soulève des questions sur la responsabilité des entreprises technologiques dans la protection des données personnelles de leurs utilisateurs, surtout lorsque ces services sont payants. Apple n'a pas encore réagi publiquement à cette plainte.
La faille a été signalée à Apple en juin 2025, mais la correction n'a été effective qu'en juillet 2026, soit plus d'un an après sa découverte. Ce délai illustre les difficultés que peuvent rencontrer les entreprises pour corriger rapidement des vulnérabilités, même lorsqu'elles sont informées par des chercheurs indépendants. Apple avait d'abord affirmé en mars 2026 que la faille était résolue, avant de reconnaître en mai 2026 qu'un correctif était en cours de déploiement. Ce cas montre également l'importance de la pression médiatique et publique pour accélérer les corrections, surtout lorsque des services de sécurité sont en jeu. Les chercheurs soulignent que les entreprises devraient réagir plus rapidement aux alertes pour éviter des expositions prolongées des données des utilisateurs.
