Una vulnerabilidad en la función Hide My Email de Apple, diseñada para proteger la identidad de los usuarios al registrar cuentas o comunicarse en línea, permitía revelar las direcciones de correo electrónico reales de quienes confiaban en esta herramienta de privacidad. El fallo, descubierto por el investigador Tyler Murphy, cofundador del servicio de eliminación de datos EasyOptOuts, fue reportado a Apple en junio de 2025, pero la compañía no lo resolvió de manera efectiva hasta más de un año después, según la documentación recogida por 404 Media y TechCrunch.
Hide My Email es una función incluida en el servicio de pago iCloud+ de Apple que genera direcciones de correo electrónico desechables, formadas por dos palabras aleatorias seguidas de un número y el dominio @icloud.com. La idea es que los usuarios puedan registrarse en sitios web, servicios o comunicarse sin exponer su correo personal. Sin embargo, la vulnerabilidad descubierta por Murphy permitía que prácticamente cualquier persona que enviase un mensaje a una dirección Hide My Email pudiera conocer la dirección real del destinatario. El mecanismo funcionaba enviando un correo que era rechazado como spam: en muchos servidores de correo importantes, ese rechazo provocaba una fuga que revelaba la dirección original oculta. Lo preocupante, según Murphy y el cofundador de EasyOptOuts Ben Weiner, es que incluso mensajes legítimos podían activar la filtración si eran rebotados automáticamente, lo que significa que muchos usuarios ni siquiera encontrarían pistas del problema en su carpeta de correo no deseado, ya que el mensaje filtrado nunca llegó a su bandeja de entrada.
En pruebas limitadas con voluntarios, el cien por cien de las direcciones Hide My Email analizadas resultaron explotables, incluyendo la del propio redactor de 404 Media. Murphy advirtió a Apple en junio de 2025, y durante los meses siguientes la empresa respondió que estaba investigando el problema e incluso aseguró en algún momento que lo había resuelto; sin embargo, el investigador comprobó que el fallo seguía activo. Ante la falta de una solución definitiva, Murphy contactó con 404 Media, que publicó la noticia a principios de julio, omitiendo los detalles técnicos del exploit para evitar que terceros malintencionados lo aprovecharan mientras el agujero seguía abierto.
Apenas unos días después de la publicación, Apple confirmó a 404 Media que había desplegado un parche el 3 de julio que, según la compañía, resuelve completamente el problema. No obstante, Murphy y Weiner señalan que el riesgo para los usuarios no ha desaparecido por completo: dado que los registros de transferencia de correo electrónico suelen conservarse durante largos periodos y que incluso correos no maliciosos podían provocar la filtración, es razonable asumir que cualquier dirección Hide My Email creada antes del 7 de julio de 2026 podría haber quedado expuesta y seguir presente en logs de terceros.
El caso ha derivado en una demanda colectiva contra Apple, en la que los demandantes solicitan la devolución íntegra del coste de la suscripción a iCloud+ por los usuarios que contrataron la función, así como una orden judicial que ponga freno a lo que califican como una práctica comercial engañosa. La acción legal, recogida por PCMag, subraya la responsabilidad de la compañía frente a una característica que forma parte central de su discurso de marca basado en la privacidad.
Este episodio no es aislado en la trayectoria reciente de Apple en materia de protección de datos. En 2022, la empresa fue demandada tras descubrirse que aplicaciones del iPhone seguían enviando datos analíticos a Apple aun con la opción de Privacidad y Analítica desactivada. Un año después, investigadores determinaron que la función de privacidad de direcciones MAC, pensada para anonimizar las conexiones WiFi de los dispositivos móviles, era en la práctica inútil, ya que exponía la dirección MAC real del usuario. Estos antecedentes dibujan un patrón preocupante para una compañía que ha construido buena parte de su imagen corporativa sobre la promesa de privacidad.
La situación plantea interrogantes sobre la confianza en herramientas de privacidad que no siempre cumplen lo que prometen. Aunque Apple sostiene que el fallo ya está corregido, la existencia de registros históricos potencialmente comprometidos y el hecho de que la vulnerabilidad permaneciera abierta durante más de un año tras ser reportada refuerzan la percepción de que las garantías de privacidad requieren no solo tecnología, sino también procesos de respuesta ágiles y transparentes. Por ahora, los usuarios que crearon direcciones Hide My Email antes del 7 de julio de 2026 deberían asumir que su dirección real podría haber sido expuesta y, en la medida de lo posible, rotar las direcciones desechables utilizadas en servicios sensibles.