- Un investigador descubrió que la función Ocultar mi correo electrónico de iCloud+ permite recuperar la dirección real a partir de cualquier alias.
- Apple fue informada en junio de 2025, pero tras más de un año el fallo sigue sin corregirse.
- El 100% de los alias generados en pruebas resultaron explotables, lo que supone un grave riesgo de privacidad.
- Se recomienda no usar nuevos alias para cuentas críticas hasta que Apple publique un parche.
La función Ocultar mi correo electrónico, una de las herramientas estrella de iCloud+, promete proteger la privacidad de los usuarios generando alias que ocultan la dirección real. Sin embargo, un investigador de seguridad ha demostrado que es posible recuperar el email verdadero a partir de cualquier alias, un fallo que lleva más de un año sin corregirse.
El problema, reportado por Tyler Murphy, cofundador de EasyOptOuts, fue comunicado a Apple en junio de 2025. A pesar de que la compañía aseguró haberlo solucionado en marzo de 2026, las pruebas posteriores confirmaron que el bug seguía activo. La situación ha llevado a Murphy a hacer público el caso ante la falta de una respuesta definitiva.
¿Qué ha descubierto el investigador?
Murphy, junto a su colega Ben, encontró que cualquier alias generado con Hide My Email puede ser revertido para obtener la dirección de correo real. En pruebas con voluntarios, el 100% de los alias resultaron explotables. El método exacto no se ha revelado para evitar su uso masivo, pero 404 Media verificó el bug de forma independiente: generaron un alias nuevo y Murphy recuperó el email real en minutos.
Cronología de un fallo sin resolver
La línea de tiempo es preocupante. En junio de 2025, Murphy reportó el fallo con instrucciones detalladas. Apple acusó recibo un mes después. En marzo de 2026, la compañía comunicó que el problema estaba resuelto en un cambio reciente del sistema, pero Murphy verificó que seguía activo y lo notificó de nuevo. En abril-mayo, Apple dijo que lo revisaría, y a finales de mayo pidió no publicar los detalles. Finalmente, el 1 de julio de 2026, Murphy publicó el caso al no sentirse cómodo esperando más.
Riesgos para la privacidad personal
El impacto va más allá de una simple filtración de correo. Los brokers de datos y sitios de búsqueda de personas cruzan direcciones de email con nombres, direcciones y teléfonos. Si tu email real queda expuesto a partir de un alias, pierdes toda la protección que prometía la función, aumentando los riesgos de una filtración de datos personales. Especialmente grave es para usuarios en situaciones de seguridad personal, como quienes escapan de relaciones abusivas o acosadores. Para ellos, el alias era la única capa de protección.
¿Qué pueden hacer los usuarios?
Mientras Apple no publique un parche, lo más prudente es no usar nuevos alias de Hide My Email para cuentas donde la privacidad sea crítica. Para suscripciones a newsletters o foros de bajo riesgo, el impacto es menor. Se recomienda estar atento a las actualizaciones de seguridad de iOS y macOS y aplicarlas en cuanto estén disponibles. Como alternativa, servicios como Proton Mail ofrecen cifrado de extremo a extremo y control total sobre los alias.
Este fallo pone en entredicho una de las ventajas diferenciales de iCloud+ en materia de privacidad. Aunque Apple ha construido una reputación sólida en este ámbito, la demora en corregir un bug que afecta a una función explícitamente diseñada para ocultar la identidad del usuario genera dudas sobre la gestión de vulnerabilidades. Se espera que la compañía publique un parche en las próximas semanas, pero hasta entonces, los usuarios deben actuar con cautela.
