☕️ Après plus d’un an d’attente, Apple bouche une faille de « Hide my Email »
Apple a finalement corrigé une vulnérabilité dans son service **Hide my Email** après plus d'un an d'inaction. La faille permettait de retrouver l'adresse e-mail originale via les journaux de messagerie. Le correctif a été appliqué sous la pression médiatique, exposant des millions d'utilisateurs d'iCloud+ à un risque de fuite de données.
L'analyse
📌 **FAITS**: La vulnérabilité affectait le service « Masquer mon adresse e-mail » (Hide my Email) d'Apple. Le chercheur Tyler Murphy (EasyOptOut) l'a découverte en juin 2025 et l'a signalée à Apple. Apple a indiqué avoir résolu le problème en mars 2026, mais la faille était toujours exploitable. En mai 2026, Apple a promis un correctif puis est restée silencieuse. La médiatisation par 404 Media a forcé Apple à agir. Le correctif a été appliqué avant le 2 juillet 2026 (selon Next) ou le 7 juillet (selon 01net). La faille permettait de retrouver l'adresse réelle via les logs de courrier électronique, notamment lors du rejet automatique de spam.
📍 **CONTEXTE**: « Masquer mon adresse e-mail » est un service inclus dans iCloud+ qui génère des adresses temporaires pour protéger l'adresse réelle de l'utilisateur lors d'inscriptions en ligne. Utilisé par des millions d'abonnés, ce service est censé garantir l'anonymat et la protection contre le spam. La persistance de la faille pendant plus d'un an interroge sur la réactivité d'Apple en matière de sécurité, un domaine où la marque communique habituellement sur l'excellence.
👥 **ACTEURS**: **Tyler Murphy** (chercheur en sécurité chez EasyOptOut) a découvert et signalé la faille. **Apple** a tergiversé pendant plus d'un an avant de déployer une correction. **404 Media** a joué un rôle clé en rendant l'affaire publique, forçant Apple à réagir.
📊 **ENJEUX**: L'enjeu principal est la protection de la vie privée des utilisateurs d'iCloud+. En exploitant cette faille, n'importe quel expéditeur (ou un hébergeur de messagerie) pouvait retrouver l'adresse réelle à partir de l'adresse générée, rendant le service inefficace. Les logs de courrier non réclamé (spam) sont particulièrement risqués car ils contiennent les en-têtes complets. La lenteur d'Apple nuit à sa crédibilité sur la sécurité, un argument de vente majeur.
🔮 **PERSPECTIVES**: Le correctif semble opérationnel, mais l'absence de communication officielle d'Apple laisse planer un doute sur la vérification complète de la correction. Les utilisateurs sont invités à surveiller l'activité de leurs adresses générées. À plus long terme, cette affaire pourrait pousser Apple à améliorer son processus de gestion des signalements de vulnérabilités, voire à envisager un programme de bug bounty plus attractif. Un scénario de rupture serait l'ouverture d'une action collective si des dommages avérés sont démontrés.
Contexte
Cette affaire rappelle d'autres cas où Apple a tardé à corriger des vulnérabilités (ex: faille de l'iPhone en 2023), alimentant les critiques sur sa politique de sécurité.
Pourquoi c'est important
Pour les abonnés iCloud+, ce service est un outil concret de protection de la vie privée. La faille exposait leur adresse réelle dans les logs de messagerie, accessibles par des tiers (expéditeurs, hébergeurs). La lenteur d'Apple soulève des questions sur la priorité accordée à la sécurité des données face aux intérêts commerciaux.
Acteurs clés
- Tyler Murphy — Chercheur en sécurité chez EasyOptOut
A découvert et signalé la faille à Apple en juin 2025 - Apple — Entreprise technologique
A reconnu le problème mais a tardé à corriger, n'a pas communiqué publiquement sur les détails - 404 Media — Média d'investigation technologique
A révélé publiquement la faille, forçant Apple à agir
Chiffres clés
- Juin 2025 — Date de signalement de la faille (Next)
- Juillet 2026 — Date du correctif effectif (01net)
- Plus d'un an (13 mois) — Durée de l'inaction (Next et 01net)
Et ensuite ?
Scénario tendanciel : Apple renforce son processus de réception des signalements de sécurité pour éviter une nouvelle crise médiatique. Scénario de rupture : Une action collective d'utilisateurs ou une enquête réglementaire pourrait contraindre Apple à plus de transparence sur ses correctifs.
Questions fréquentes
Qu'est-ce que Hide my Email ?
C'est un service Apple pour les abonnés iCloud+ qui génère des adresses e-mail uniques et temporaires pour masquer votre adresse réelle lors d'inscriptions en ligne.
Quel était le risque de cette faille ?
La faille permettait à un expéditeur de retrouver votre adresse e-mail réelle dans les journaux (logs) du courrier électronique, même en cas de rejet automatique comme spam.
Apple a-t-il réagi rapidement ?
Non. La faille a été signalée en juin 2025 et Apple n'a déployé un correctif qu'en juillet 2026, après une pression médiatique de 404 Media.