Một lỗ hổng trong tính năng Hide My Email thuộc dịch vụ iCloud+ của Apple có thể cho phép kẻ xấu liên kết địa chỉ email ẩn danh với địa chỉ email thật của người dùng, theo trang 404 Media.
Chi tiết lỗ hổng
Hide My Email cho phép người dùng tạo địa chỉ email thay thế có tên miền iCloud để đăng ký tài khoản, tải phần mềm hoặc nhận ưu đãi mà không cần cung cấp email cá nhân. Thư gửi đến địa chỉ này được chuyển tiếp tới hộp thư thật, giúp hạn chế thư rác và nguy cơ lộ thông tin.
Lỗ hổng được nhóm Easy Opt Outs phát hiện. Nhà đồng sáng lập Tyler Murphy cho biết nhóm đã thử nghiệm với một số tình nguyện viên và có thể xác định email thật từ toàn bộ địa chỉ Hide My Email được kiểm tra bằng các công cụ tìm kiếm danh tính phổ biến.
Phản hồi từ Apple
Ông Murphy cho biết đã thông báo vấn đề cho Apple vào tháng 6/2025. Đến tháng 3/2026, Apple nói rằng lỗi đã được xử lý, nhưng các thử nghiệm sau đó cho thấy lỗ hổng vẫn tồn tại. Tháng 5/2026, Apple cho biết vẫn đang điều tra và đề nghị nhóm nghiên cứu chưa công khai thông tin. Tuy nhiên, Easy Opt Outs quyết định công bố cảnh báo vì cho rằng người dùng cần biết địa chỉ email thật có thể bị phát hiện.
Tác động và cập nhật
Chi tiết kỹ thuật của lỗ hổng chưa được công bố do nguy cơ bị lợi dụng. Quy mô ảnh hưởng thực tế cũng chưa được xác định. Apple chưa đưa ra phản hồi chính thức, nhưng hãng được cho là đang chuẩn bị cập nhật Hide My Email, bao gồm chuyển tên miền từ “icloud.com” sang “private.icloud.com”.
