Por qué importa

Hide My Email es una herramienta de iCloud+ que genera direcciones aleatorias para que los usuarios no expongan su correo personal al registrarse en sitios web o aplicaciones. Si el fallo permite vincular esas direcciones falsas con las reales, la función deja de cumplir su propósito principal: proteger la privacidad del usuario.

Lo que sabemos (y lo que no)

  • Murphy y su equipo probaron la vulnerabilidad con voluntarios y lograron explotarla en el 100% de los casos.
  • 404 Media verificó el fallo: generó una dirección Hide My Email, se la envió a Murphy, y él conectó el alias anónimo con la cuenta Apple correspondiente en unos cinco minutos.
  • Los detalles técnicos del exploit no se han hecho públicos porque el error sigue sin repararse.
  • Apple respondió a Murphy en julio de 2025 diciendo que investigaba. En marzo de 2026 afirmó haber solucionado el problema, pero Murphy comprobó que no era cierto.
  • En mayo de 2026, Apple pidió a Murphy no divulgar el fallo hasta terminar la investigación y dijo que lo corregiría en una actualización de seguridad "próxima".

Entre líneas

  • Murphy sugirió a Apple suspender temporalmente la creación de nuevas direcciones Hide My Email para limitar el riesgo de los usuarios. La compañía no tomó esa medida.
  • Los sitios de búsqueda de personas, de acceso público y gratuito, permiten vincular una dirección de correo con otros datos personales como nombre, teléfono o domicilio.
  • Este no es el primer caso donde funciones de privacidad de Apple resultan defectuosas. En 2022, una demanda señaló que apps de iPhone seguían enviando datos analíticos a Apple incluso con la configuración de privacidad desactivada. En 2023, investigadores calificaron de "inútil" otra herramienta diseñada para anonimizar conexiones WiFi.

Qué sigue

Apple no ha confirmado públicamente el problema ni una fecha concreta para la actualización de seguridad. Mientras tanto, los usuarios que confían en Hide My Email para proteger su identidad en línea siguen expuestos.