לפי EasyOptOuts: באג ב-Hide My Email של Apple חשף כתובות דוא״ל אמיתיות במשך שנה
חוקרי EasyOptOuts דיווחו ל-Apple ביוני 2025 שהודעת דחייה לכתובת Hide My Email מגלה את הכתובת האמיתית. Apple אמרה שתיקנה, אבל הבאג המשיך, ונסגר רק בתחילת יולי 2026.
TL;DR בקצרה
- הבאג ב-Hide My Email: הודעה שנדחתה כספאם החזירה שגיאה שכללה את הכתובת האמיתית, בכל הבדיקות המצומצמות של החוקרים.
- EasyOptOuts דיווחה ל-Apple ב-11 ביוני 2025. Apple אמרה פעמיים שתיקנה, והחוקרים הראו שלא.
- 404 Media פרסמה את הסיפור ב-1 ביולי 2026, ו-Apple הפעילה תיקונים בין 2 ל-6 ביולי.
- לפי החוקרים, כתובות שנוצרו לפני 7 ביולי 2026 עלולות להישאר ביומני דוא״ל של צדדים שלישיים.
חוקרי EasyOptOuts גילו שהשירות Hide My Email של Apple חשף את כתובת הדוא״ל האמיתית שהוא אמור להסתיר. הם דיווחו על כך ל-Apple כבר ב-11 ביוני 2025. 404 Media פרסמה את הסיפור ב-1 ביולי 2026. Apple סגרה את הבעיה בימים שאחרי כן, אבל לפי החוקרים הסיכון לא נעלם.
איך באג ב-Hide My Email חשף את הכתובת האמיתית
Hide My Email הוא שירות של iCloud+. הוא יוצר כתובת אקראית שמעבירה את ההודעות לכתובת האמיתית שלכם. כך אפשר להירשם לאתרים בלי למסור את הכתובת הפרטית.
לפי EasyOptOuts, הבעיה הופיעה כשהודעה לכתובת כזאת נדחתה כספאם. אז התקבלה הודעת שגיאה, והטקסט שלה כלל את הכתובת האמיתית. המנגנון עבד בכל הבדיקות המצומצמות של החוקרים. הקודים הנפוצים היו 550 ו-552.
גם כשהכתובת המלאה לא דלפה, שם שרת הדוא״ל עלול היה לדלוף. למשל, שרת של Proton או של Gmail. בבאג שני, משתמש מחק את הכתובת האמיתית. אחרי המחיקה, שגיאת חשבון מחוק (550 5.1.1) חשפה את כתובת היעד.
הדליפה כללה כתובות בדומיינים של Gmail, Yahoo, Outlook ו-Proton, בין היתר. חלק מהדומיינים שדלפו הם של אתרים אישיים, והם לבדם יכולים לזהות אדם אחד. הכתובת עלולה להישאר גם ביומנים של שירותי דוא״ל חיצוניים. למשל, ביומני Mailgun ההודעות נשארות כמה ימים. יש שולחים שמחזיקים אותן שנים.
ציר הזמן: שנה בין הדיווח לתיקון
לפי EasyOptOuts, Apple השיבה ב-2025 שהשירות לא נועד לחשוף כתובות, וב-14 ביולי 2025 אישרה שהדיווחים בבדיקה. ב-3 במרץ 2026 אמרה שהיא סגרה את הבעיה. החוקרים בדקו ומצאו שלא. במאי 2026 אמרה Apple שתכננה תיקון בעדכון אבטחה עתידי, וביקשה שלא לפרסם.
ב-29 ביוני 2026 פנו החוקרים ל-404 Media. ב-30 ביוני אמרה Apple שוב שהבעיה נפתרה, והחוקרים שוב מצאו שלא. ב-1 ביולי פרסמה 404 Media את הסיפור. ב-2 ביולי דיווחה Apple שסגרה את החשיפה דרך שרתי דוא״ל של צד שלישי. היא המשיכה לבדוק הודעות שגיאה נוספות. ב-7 ביולי ראו החוקרים שהבעיות הידועות נסגרו כבר, כולל שגיאות 5xx מותאמות. ב-14 ביולי אישרה Apple שלדעתה ההתנהגות שדווחה טופלה, וגם מקרי הקצה.
מה עדיין פתוח אחרי התיקון של Hide My Email
טיילר מרפי (Tyler Murphy) מ-EasyOptOuts אמר ל-Engadget שהדליפה נסגרה. עם זאת, ״אנחנו לא חושבים שהסיכון למשתמשי Hide My Email נעלם״. לדבריו, הכתובת האמיתית שמאחורי כתובת Hide My Email שנוצרה לפני 7 ביולי 2026 עלולה להיות חשופה. היא עלולה להישאר ביומנים של צדדים שלישיים.
לפי החוקרים, סביר שלא תוכלו לאמת אם הכתובת שלכם דלפה. בעמוד שלהם הם מציינים ש-Apple לא הודיעה למשתמשים על הבעיה. הם בדקו כמה שירותי כינויים אחרים ולא מצאו בהם אותן בעיות. הם לא בדקו את כולם.
מה זה אומר עבורכם
- הניחו שהכתובת האמיתית עלולה להיות חשופה: אתם לא יכולים לבדוק זאת בעצמכם. זה נכון במיוחד לכתובות Hide My Email שנוצרו לפני 7 ביולי 2026.
- כבו כתובות שאינכם משתמשים בהן: EasyOptOuts ממליצה להשבית כתובות Hide My Email ישנות. הפסיקו גם לקשור אליהן חשבונות חדשים.
- נתקו קישורים גלויים: הפרידו בין הכתובת האמיתית שלכם למידע האישי שלכם. אם היא מובילה אליכם בקלות, למשל בדומיין אישי, חשבו על כתובת יעד אחרת.
- שקלו שירות כינויים נוסף: החוקרים מציעים לבדוק שירות אחר או לשלב שני שירותים. בדקו מול הספק שלכם לפני שאתם סומכים עליו.
- אם אתם מנהלי שרת דוא״ל: בדקו ביומנים דחיות בטווח 500 עד 599, בעיקר 550 ו-552. מחקו מהיומנים כתובות שדלפו. שאלו את ספק האירוח אם אפשר לדעת אם הושפעתם.
מה קרה מאז
ב-21 ביולי 2026 דיווחה Engadget שלפי PCMag, Apple מתמודדת עם תביעה ייצוגית מוצעת בנושא. התביעה מבקשת צו נגד התנהלות מטעה של Apple, והחזר של דמי המנוי ששילמו לקוחות על השירות.
מקורות והרחבה
- Apple Hide My Email is leaking email addressesEasyOptOuts
- Apple's Hide My Email vulnerability reveals people's real email addresses404 Media
- Apple has reportedly fixed its Hide My Email vulnerabilityEngadget
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
