- Un investigador de seguridad ha demostrado que el sistema de anonimato de correos de iCloud+ sigue siendo vulnerable tras más de un año.
- Apple afirmó haber solucionado el problema en marzo de 2026, pero nuevas pruebas confirman que el fallo persiste.
- La exposición del correo electrónico real permite a terceros vincular identidades con nombres, teléfonos y direcciones físicas mediante bases de datos.
- Expertos recomiendan no confiar ciegamente en esta herramienta hasta que se publique una actualización de seguridad definitiva.
Apple siempre ha hecho de la privacidad su bandera, pero parece que no es oro todo lo que reluce en el ecosistema de la manzana. Una de las funciones estrella para quienes buscan navegar sin dejar rastro, ‘Ocultar mi correo’, está en el ojo del huracán tras descubrirse que tiene una brecha que permite ver precisamente lo que debería esconder. Esta herramienta, pensada para generar alias aleatorios y proteger la cuenta principal de iCloud, está fallando en su cometido básico y dejando a los usuarios un tanto vendidos frente a posibles rastreadores.
La noticia ha caído como un jarro de agua fría porque, al parecer, la compañía de Cupertino lleva tiempo al tanto de este lío y no termina de dar con la tecla para arreglarlo. Vaya, que la promesa de anonimato total se ha quedado un poco en papel mojado después de que varias pruebas externas hayan confirmado que, con un par de trucos técnicos, es posible desvelar la identidad real que hay detrás de esos correos temporales. Para los que pagamos iCloud+ esperando un extra de seguridad, este tipo de vulnerabilidades nos hace replantearnos si realmente estamos tan protegidos como nos cuentan.
Un año de avisos sin una solución definitiva
La historia viene de lejos, concretamente de mediados de 2025, cuando Tyler Murphy, un experto en esto de la eliminación de datos, dio la voz de alarma. Resulta que el hombre avisó a Apple de que su sistema de enmascaramiento de correos electrónicos era vulnerable. Aunque desde la empresa le dijeron en marzo de este año que ya estaba todo solucionado gracias a un cambio en sus servidores, la realidad es que el agujero sigue ahí. Al final, el investigador tuvo que volver a insistir porque los resultados de sus test seguían siendo positivos a la hora de desvelar cuentas reales.
Lo más llamativo es que medios especializados como 404 Media se han puesto manos a la obra para comprobar si esto era verdad y, efectivamente, no han tardado ni cinco minutos en reventar el anonimato de una cuenta de prueba. La tecnológica ha pedido que no se aireen demasiado los detalles técnicos para evitar que los malos se aprovechen, pero la verdad es que el mosqueo entre la comunidad es importante. Que una empresa de este calibre mantenga una vulnerabilidad así durante más de doce meses no es algo a lo que nos tengan acostumbrados, especialmente cuando afecta a su núcleo de privacidad.
En las oficinas de Apple en Europa y el resto del mundo, el silencio ha sido la tónica general mientras sigan investigando, aunque han prometido una actualización en las próximas semanas. El problema es que mientras tanto, cualquier usuario que se registre en una web nueva pensando que su correo de iCloud está a salvo podría estar exponiendo su dirección principal sin saberlo. Esta situación deja en evidencia que incluso los sistemas más robustos tienen sus grietas y que confiar al 100% en una sola herramienta puede ser arriesgado.
Cómo afecta este agujero a tu identidad digital
A simple vista, que alguien sepa tu correo no parece el fin del mundo, pero la cosa se complica cuando rascamos un poco. Con esa dirección real en la mano, un atacante o una empresa de marketing puede bucear en bases de datos y cruzar información personal de todo tipo. Estamos hablando de que podrían llegar a sacar tu nombre completo, tu número de teléfono o incluso dónde vives si esos datos están vinculados a tu cuenta en otros servicios. Por si fuera poco, conocer el mail auténtico facilita enormemente las campañas de phishing personalizado, que son un auténtico dolor de cabeza hoy en día.
El riesgo no se queda solo en recibir más spam de la cuenta en la bandeja de entrada. Al desvelarse el vínculo entre el alias y la cuenta de iCloud, se rompe esa barrera que separa nuestra vida personal de los registros en aplicaciones de terceros. Muchos usuarios en España utilizan esta función para evitar que corredores de datos y anunciantes creen un perfil detallado de sus hábitos, algo que ahora mismo está en entredicho. La vulnerabilidad es tan clara que en las pruebas realizadas con voluntarios, todas las direcciones generadas por el sistema resultaron ser vulnerables.
Además, Apple ha planteado recientemente cambiar el dominio de estos correos a @private.icloud.com, lo que irónicamente podría facilitar que las webs identifiquen que estás usando un alias. Si a esto le sumamos que la protección técnica está comprometida, el valor del servicio iCloud+ cae bastantes puntos. No se trata solo de un bug técnico, sino de un fallo que golpea directamente la confianza del cliente que paga por un extra de tranquilidad en su navegación diaria.
Antecedentes y qué podemos hacer ahora
No es la primera vez que a la gente de Tim Cook le sacan los colores con temas similares. Hace un par de años ya tuvieron líos con el envío de datos analíticos cuando el usuario decía que no, y más recientemente con la anonimización de las direcciones MAC en las redes Wi-Fi, que resultó ser bastante ineficaz en ciertos casos. Parece que la complejidad de estos sistemas de privacidad es tal que ni siquiera los ingenieros de Apple logran blindarlos por completo a la primera, lo que nos obliga a los usuarios a estar más atentos de lo normal.
Por ahora, lo más sensato si te preocupa mucho tu privacidad es no jugártelo todo a una sola carta. Usar gestores de contraseñas que generen correos distintos o incluso servicios de terceros para alias puede ser una alternativa mientras Apple termina de parchear este agujero de seguridad. La transparencia en estos casos brilla por su ausencia, y aunque la compañía pide paciencia mientras investigan, la realidad es que el fallo está ahí fuera y es plenamente explotable por cualquiera que sepa dónde mirar.
Toca andar con pies de plomo y estar muy pendientes de las próximas actualizaciones de iOS y macOS para ver si por fin cierran esta puerta trasera. La lección que nos llevamos es que el anonimato total en la red es una meta difícil de alcanzar y que incluso las herramientas de pago más reputadas pueden tener fallos de bulto. Mantenerse informado y diversificar las medidas de protección sigue siendo la mejor estrategia para que nuestros datos personales no acaben donde no deben mientras esperamos que Cupertino cumpla con lo que promete en sus anuncios.
