☕️ Après plus d’un an d’attente, Apple bouche une faille de « Hide my Email »
Apple a déployé un correctif pour une vulnérabilité dans **Hide my Email** (Masquer mon adresse e-mail) qui exposait l'identité réelle des utilisateurs. La faille, signalée en juin 2025, a nécessité une **médiatisation forcée** pour être enfin résolue en juillet 2026.
L'analyse
📌 **FAITS**:
- Une vulnérabilité dans le service « Masquer mon adresse e-mail » (Hide My Email) d'Apple permettait de retrouver l’adresse e-mail originale à partir de l’adresse générée.
- Le chercheur Tyler Murphy (EasyOptOut) a signalé la faille à Apple en juin 2025.
- Apple a affirmé avoir résolu le problème en mars 2026, mais la faille était toujours exploitable.
- Apple a indiqué en mai 2026 qu’un correctif serait appliqué, puis est restée silencieuse.
- La médiatisation de la faille (par 404 Media) a forcé Apple à corriger la vulnérabilité, plus d’un an après sa découverte.
- Le correctif a été appliqué avant le 2 juillet 2026 (Next) ou le 7 juillet (01net).
📍 **CONTEXTE**:
- Hide My Email est un service iCloud+ qui génère des adresses e-mail jetables pour protéger la véritable adresse des utilisateurs lors d’inscriptions ou de transactions.
- La faille exploitait les logs de courrier électronique : les en-têtes des messages rejetés (spam) pouvaient révéler l’adresse réelle. Un précédent similaire avait touché d’autres services de masquage.
- Aujourd’hui, cela signifie que des utilisateurs ont potentiellement vu leur adresse réelle exposée pendant plus d’un an, sans possibilité de le savoir.
👥 **ACTEURS**:
- **Tyler Murphy** (chercheur) : découvreur et signaleur de la faille.
- **Apple** : entreprise responsable du service, accusée d’inaction.
- **404 Media** : média qui a révélé publiquement la faille, forçant la correction.
- **01net et Next** : médias ayant relayé l’information, chacun avec un angle légèrement différent (01net critique, Next factuel).
📊 **ENJEUX**:
- **Vie privée** : les utilisateurs d’iCloud+ qui comptaient sur Hide My Email pour protéger leur identité ont été exposés. La faille permettait à des expéditeurs ou hébergeurs de contourner l’anonymisation.
- **Confiance** : la lenteur d’Apple (1 an) entache la réputation de l’entreprise en matière de sécurité.
- **Rapport de force** : Apple n’a réagi que sous pression médiatique, ce qui pose la question de l’efficacité des programmes de bug bounty.
🔮 **PERSPECTIVES**:
- **Scénario tendanciel** : Apple renforcera ses procédures de traitement des signalements pour éviter un nouveau fiasco.
- **Scénario de rupture** : des régulateurs (ex. CNIL) pourraient enquêter sur le délai de correction et imposer des sanctions.
- **Impact pour l’utilisateur** : il est conseillé de vérifier ses adresses masquées et de changer les plus sensibles ; aucun correctif rétroactif n’est possible pour les logs déjà divulgués.
Contexte
Similaire à la faille de « Relay privé » d'iCloud+ en 2022, où Apple avait mis plusieurs mois à corriger un problème de fuite DNS.
Pourquoi c'est important
Cette correction est cruciale pour tous les utilisateurs d’iCloud+ qui utilisent « Masquer mon adresse e-mail » pour protéger leur identité en ligne. Pendant plus d’un an, leur véritable adresse a pu être exposée via les logs de messagerie, sans qu’ils puissent s’en apercevoir. Le délai de correction montre les limites de la réactivité d’Apple face aux vulnérabilités sécuritaires.
Acteurs clés
- Tyler Murphy — Chercheur en sécurité
A signalé la faille à Apple en juin 2025 - Apple — Éditeur du service
A affirmé avoir corrigé en mars 2026 sans effet, puis a finalement déployé un correctif en juillet 2026 après médiatisation
Chiffres clés
- Juin 2025 — Découverte de la faille (Next, 01net)
- Juillet 2026 — Correction déployée (01net (7 juillet), Next (avant 2 juillet))
- Mai 2026 (404 Media) — Médiatisation forcée (01net)
Et ensuite
**Scénario Tendanciel** : Apple renforce ses processus de bug bounty et réduit ses délais de correction. **Scénario de Rupture** : Des autorités de protection des données (CNIL, ICO) pourraient ouvrir une enquête sur le délai d'un an, imposant des amendes ou des obligations de transparence. Pour l'utilisateur, il est conseillé de surveiller ses adresses masquées et de changer les plus utilisées.
Questions fréquentes
Qu'est-ce que « Hide my Email » (Masquer mon adresse e-mail) chez Apple ?
C'est un service iCloud+ qui génère des adresses e-mail uniques et jetables pour protéger votre adresse réelle lorsque vous vous inscrivez sur des sites ou applications.
Quelle était la nature de la faille dans Hide my Email ?
La faille permettait à des expéditeurs ou hébergeurs de retrouver votre adresse e-mail originale en analysant les en-têtes des messages rejetés (spam) envoyés à l'adresse masquée.
Pourquoi Apple a-t-il mis plus d'un an à corriger cette faille ?
Apple a affirmé avoir résolu le problème en mars 2026, mais la vulnérabilité est restée exploitable. Ce n'est qu'après une révélation publique par 404 Media en mai 2026 que l'entreprise a déployé un correctif effectif.