Une faille dans Hide My Email d'Apple expose les adresses réelles des utilisateurs pendant onze mois.
Une vulnérabilité découverte en juin 2025 dans **Hide My Email** d'Apple permettait de retrouver l'adresse **principale** derrière un alias. Apple a mis **11 mois** à annoncer un correctif, après avoir nié le problème. Les utilisateurs d'**iCloud+** sont concernés.
L'analyse
📌 **FAITS**
- Juin 2025 : Tyler Murphy (EasyOptOuts) découvre une faille dans Hide My Email permettant de lier un alias à l'adresse réelle.
- Juillet 2025 : Apple répond au rapport initial.
- Mars 2026 : Apple affirme avoir corrigé, mais Murphy démontre que la faille est toujours exploitable.
- Mai 2026 : Apple demande de ne pas publier, puis annonce un correctif « dans les semaines à venir ».
- Fin mai 2026 : Murphy rend publique la faille via 404 Media.
📍 **CONTEXTE**
Hide My Email, lancé en 2021 avec iCloud+, permet de générer des adresses jetables pour protéger la vie privée. La faille contourne cette protection en exposant l'adresse réelle. Aujourd'hui, cela signifie que des millions d'utilisateurs d'iCloud+ (abonnement dès 0,99 €/mois) ont vu leur anonymat compromis pendant près d'un an.
👥 **ACTEURS**
- **Tyler Murphy** (chercheur, cofondateur d'EasyOptOuts) : découvreur et divulgateur responsable.
- **Apple** : entreprise visée, accusée de lenteur et de manque de transparence.
- **404 Media** : média ayant testé et relayé la faille.
📊 **ENJEUX**
- **Confidentialité** : la promesse de protection des données d'Apple est remise en cause.
- **Délai de correction** : 11 mois entre la découverte et l'annonce d'un correctif, avec une tentative de déni.
- **Changement d'architecture** : Apple abandonne les adresses @icloud.com pour Hide My Email, signe d'une refonte profonde.
🔮 **PERSPECTIVES**
- **Scénario tendanciel** : le correctif à venir devrait résoudre la faille, mais d'autres vulnérabilités pourraient subsister.
- **Scénario de rupture** : si la faille a été exploitée, des fuites de données massives pourraient émerger, entraînant des poursuites judiciaires.
Contexte
Similaire à la faille de sécurité iCloud de 2014 qui avait exposé des photos privées, mais ici il s'agit d'une vulnérabilité dans un service payant.
Pourquoi c'est important
Si vous utilisez iCloud+ et la fonction Hide My Email, votre adresse réelle a pu être exposée sans que vous le sachiez. Cette faille montre que même les géants de la tech peuvent laisser des portes ouvertes pendant des mois, mettant en danger votre vie privée en ligne.
Acteurs clés
- Tyler Murphy — Chercheur en sécurité, cofondateur d'EasyOptOuts
A découvert et signalé la faille à Apple - Apple — Entreprise technologique
A reconnu le problème et annoncé un correctif après 11 mois - 404 Media — Média d'investigation
A testé et relayé la faille
Chiffres clés
- 11 mois (juin 2025 à mai 2026) — Délai de correction (Numerama)
- 0,99 €/mois (50 Go) — Abonnement iCloud+ minimum (Next.ink)
- 2021 — Date de lancement de Hide My Email (Next.ink)
Et ensuite ?
Scénario Tendanciel : le correctif à venir devrait résoudre la faille, mais d'autres vulnérabilités pourraient subsister. Scénario de Rupture : si la faille a été exploitée, des fuites de données massives pourraient émerger, entraînant des poursuites judiciaires contre Apple.
Questions fréquentes
Qu'est-ce que Hide My Email d'Apple ?
C'est une fonctionnalité d'iCloud+ qui génère des adresses email aléatoires pour masquer votre adresse réelle lors d'inscriptions en ligne.
La faille a-t-elle été exploitée ?
Aucune information dans les sources ne confirme une exploitation active, mais le risque existait pendant près d'un an.
Que faire si j'utilise Hide My Email ?
Apple a annoncé un correctif pour fin mai 2026. En attendant, surveillez vos comptes et utilisez des mots de passe forts.