- Investigadores de seguridad descubren que iCloud Private Relay puede exponer la IP real del usuario en Safari.
- La firma Clarkson Law Firm presenta una demanda colectiva contra Apple por publicidad engañosa y fraude.
- El fallo afecta a passkeys, DNS prefetching y WebTransport, y no solo a Safari sino a todos los navegadores de iOS.
- Apple aún no ha respondido a las acusaciones, pero se espera una solución en futuras actualizaciones.
Cuando activas Private Relay, das por hecho que tu dirección IP queda oculta mientras navegas por Safari. Es justo lo que promete iCloud+: que las web que visites no puedan ver quién eres, ni desde dónde te conectas. Pero según una investigación de 404 Media, eso no siempre es así. Los investigadores de seguridad Tommy Mysk y Talal Haj Bakry han encontrado un fallo en WebKit que desmonta la promesa de iCloud Private Relay. Cualquier web que use passkeys puede acabar viendo tu dirección IP, aunque tengas Private Relay activado.
La noticia ha dado la vuelta al mundo tecnológico y ya ha tenido consecuencias legales. Una demanda colectiva presentada por el despacho Clarkson Law Firm acusa a Apple de fraude y publicidad engañosa, alegando que los suscriptores de iCloud+ pagaron un extra por una protección que no funcionaba como se anunciaba. El caso, que se ha presentado en el Tribunal de Distrito de EE. UU. para el Distrito Norte de California, busca el estatus de clase y podría sentar un precedente importante en la industria.
Qué es Private Relay y por qué es importante
Private Relay es un servicio incluido en iCloud+ que actúa como un intermediario entre el usuario y las páginas web. Cuando navegas con Safari, tu tráfico pasa por dos servidores: uno de Apple y otro de un tercero. Así, la web solo ve una dirección IP temporal, no tu IP real. Es una especie de VPN ligera, pero con una diferencia clave: solo protege lo que haces en Safari, no todo el tráfico del dispositivo.
El problema es que las passkeys, el sistema de autenticación que está sustituyendo a las contraseñas, no pasan por Safari. Cuando una web inicia una verificación de passkey, el sistema operativo del dispositivo gestiona la petición directamente, sin pasar por el navegador. Eso significa que la web puede ver tu IP real, aunque tengas Private Relay activado. Y lo peor: no hace falta que la web realmente soporte passkeys, basta con que lo finja para que el fallo se active.
Los investigadores han montado una web de prueba para que cualquier usuario pueda comprobar si su IP se ve expuesta. 404 Media, que publicó la investigación, confirmó que la herramienta mostraba la IP de un usuario que se suponía protegido. Aunque el resto de la navegación sigue protegida, este fallo puntual es un duro golpe para la imagen de privacidad que Apple ha cultivado durante años.
La demanda colectiva y sus implicaciones
La demanda, presentada por el demandante Edward Rickman, alega que Apple conocía o debería haber conocido que sus afirmaciones sobre Private Relay eran falsas. El despacho Clarkson Law Firm, que ya consiguió un acuerdo de 250 millones de dólares por los retrasos de Siri AI, sostiene que los suscriptores pagaron una prima por una protección que no se cumplía. Tim Giordano, socio del despacho, calificó la situación como «una violación y traición escandalosa de la confianza del consumidor».
La demanda no solo se centra en las passkeys. También menciona otros dos fallos relacionados con DNS prefetching y el protocolo WebTransport, introducido en iOS 26. Bajo ciertas condiciones, estos pueden revelar la IP real del usuario o los servidores DNS. Como WebKit es el motor de todos los navegadores en iOS, el riesgo no se limita a Safari, sino que afecta a cualquier navegador del iPhone.
Apple no ha respondido aún a las acusaciones. La compañía suele tardar en pronunciarse en estos casos, pero es probable que trabaje en un parche para futuras actualizaciones de iOS y macOS. Mientras tanto, los usuarios de iCloud+ se preguntan si su privacidad está realmente protegida o si han estado pagando por algo que no funciona.
Qué significa esto para los usuarios europeos
En Europa, la privacidad es un derecho fundamental protegido por el RGPD, y este tipo de fallos podría tener implicaciones legales adicionales. Aunque la demanda se ha presentado en EE. UU., los usuarios europeos de iCloud+ también están afectados. Si Apple no soluciona el problema, podría enfrentarse a sanciones de las autoridades de protección de datos europeas, que son especialmente estrictas con las violaciones de privacidad.
Los investigadores han señalado que el fallo de las passkeys es especialmente grave porque no requiere que la web realmente las use. Basta con que la web simule soportarlas para que el dispositivo haga una petición fuera del navegador, exponiendo la IP. Esto convierte a cualquier web maliciosa en una amenaza potencial para la privacidad de los usuarios de iCloud+.
La demanda también pide una orden judicial para que Apple cambie sus prácticas comerciales y deje de promocionar Private Relay como una herramienta segura hasta que se solucionen los fallos. Además, busca una compensación económica para los afectados y el pago de los honorarios de los abogados. El caso podría alargarse durante meses, pero ya ha puesto en el punto de mira una de las funciones más publicitadas de Apple.
Mientras tanto, los expertos recomiendan a los usuarios de iCloud+ que sigan usando Private Relay, ya que sigue ofreciendo más protección que no tenerlo. Sin embargo, conviene ser consciente de sus limitaciones y no confiar ciegamente en que la IP está siempre oculta. Para los más preocupados por la privacidad, una VPN tradicional sigue siendo la opción más segura, aunque cubre todo el tráfico del dispositivo, no solo el de Safari.
La investigación de Mysk y Haj Bakry ha puesto de manifiesto que la privacidad en línea es un campo de batalla constante, y que incluso las empresas más comprometidas con ella pueden fallar. Apple ha construido su marca sobre la promesa de proteger la privacidad de sus usuarios, y este fallo podría dañar esa reputación. La compañía tendrá que trabajar duro para recuperar la confianza de sus clientes, tanto en EE. UU. como en Europa.
Por último, la demanda colectiva es un recordatorio de que las promesas de privacidad no son solo una cuestión de marketing, sino que tienen consecuencias legales. Si Apple no cumple lo que promete, los consumidores tienen derecho a reclamar. Y con un despacho como Clarkson Law Firm al frente, que ya ha demostrado su capacidad para ganar casos contra Apple, la compañía de Cupertino podría tener que pagar un precio muy alto por este desliz.
