Apple khắc phục lỗi Hide My Email có thể lộ địa chỉ thật trong log Mail
"Apple fixed a vulnerability in its Hide My Email service that could expose users' real email addresses in mail transfer logs when messages were rejected as spam. The issue was reported on June 13, 2025, after earlier unsuccessful patch attempts, and Apple deployed a fix on July 3, 2026; addresses associated with Hide My Email aliases created before July 7, 2026 may have been captured in logs."
Lỗi có thể làm lộ địa chỉ email thật trong mail transfer logs khi email bị từ chối do spam, làm suy giảm tính ẩn danh của Hide My Email. Tác động chính nằm ở khả năng “unmask” danh tính qua log hệ thống.
Rủi ro chủ yếu là ảnh hưởng niềm tin và nghĩa vụ tuân thủ liên quan đến quyền riêng tư dữ liệu; đồng thời có thể phát sinh chi phí xử lý khi khách hàng yêu cầu giải thích. Tác động vận hành phụ thuộc vào mức độ log bị truy cập và lưu trữ.
Apple đã triển khai bản sửa cho một lỗ hổng trong Hide My Email có thể khiến địa chỉ email thật của người dùng bị “unmask” và xuất hiện trong mail transfer logs. Theo báo cáo, sự cố được thông báo cho Apple lần đầu vào 13/06/2025; hãng đã thử vá nhưng không thành công vào tháng 3 và tiếp tục vào 30/06/2026. Sau đó, bản khắc phục được triển khai vào 03/07/2026.
Hide My Email tạo các địa chỉ email ngẫu nhiên, chuyển tiếp thư tới hộp thư cá nhân để giảm rủi ro lộ danh tính và hạn chế thư rác. Lỗi được mô tả là: chỉ cần gửi một email nhắm mục tiêu tới người dùng Hide My Email và email bị hệ thống từ chối do bị đánh dấu spam, địa chỉ thật có thể bị ghi lại trong log.
Bài viết cũng lưu ý rằng chưa rõ mức độ rò rỉ, vì nhiều nhà cung cấp email có thể từ chối tự động nên người dùng không thấy trong spam folder. Dù đã được sửa, địa chỉ gắn với alias Hide My Email được tạo trước 07/07/2026 có thể đã xuất hiện trong log khi email hợp lệ bị trả về.
Khuyến nghị: rà soát quy trình xử lý email và log nội bộ, ưu tiên giảm lưu trữ/giảm truy cập tới mail transfer logs, đồng thời theo dõi thông báo cập nhật dịch vụ liên quan đến iCloud+ và quyền riêng tư.