C’est une faille encore béante, dont les détails n’ont pas été divulgués afin d’éviter qu’elle soit exploitée par des hackers.
Elle concerne Hide My Email, la fonctionnalité payante d’iCloud+ censée permettre de créer des adresses e-mail jetables et anonymes pour s’inscrire à des services en ligne.
Problème, une vulnérabilité permet de remonter jusqu’à l’adresse personnelle d’un utilisateur. C’est ce que révèle 404 Media, qui a testé le dispositif en conditions réelles.
Le site américain a généré une adresse Hide My Email et l’a transmise à Tyler Murphy, cofondateur de la société de protection de la vie privée EasyOptOuts, à l’origine de la découverte. En cinq minutes, celui-ci est parvenu à établir le lien avec l’adresse e-mail réelle associée au compte Apple. Selon l’expert, toutes les adresses testées lors d’essais menés avec des volontaires se sont révélées vulnérables à la même méthode.
Un signalement resté sans effet depuis juin 2025
Le problème n’a rien d’une découverte récente. Tyler Murphy affirme avoir alerté Apple dès juin 2025, en fournissant des instructions permettant de reproduire la faille. Le fabricant a répondu un mois plus tard pour indiquer qu’il examinait la question. En mars 2026, Apple a assuré avoir « traité le problème signalé dans une récente modification du système », une affirmation démentie par le chercheur qui assure que la faille reste encore aujourd’hui exploitable.
En mai, Apple lui a demandé de ne pas rendre l’information publique, invoquant une enquête toujours en cours. Tyler Murphy a alors suggéré de suspendre temporairement la commercialisation de Hide My Email le temps de corriger le problème, une proposition restée sans réponse.
Fin mai 2026, Apple a fini par annoncer un correctif « dans les semaines à venir ». Faute de nouvelles avancées, Murphy a choisi de rendre l’affaire publique via 404 Media.
Un risque amplifié par les sites de recherche de données personnelles
Sollicité à plusieurs reprises par le média américain, Apple n’a pas répondu aux demandes de commentaire.
Tyler Murphy rappelle que le problème dépasse la simple fuite d’e-mail. Une fois l’adresse réelle exposée, il devient facile de la relier à d’autres informations personnelles, nom, adresse postale, numéro de téléphone. Les utilisateurs qui s’appuient sur Hide My Email pour se protéger, notamment dans des contextes sensibles, pourraient ainsi se retrouver exposés sans le savoir.
404 Media souligne par ailleurs que cette affaire tombe mal pour Apple, qui modifie déjà en parallèle l’architecture de Hide My Email. Selon un autre média américain, TechCrunch, la firme s’apprête à abandonner le domaine @icloud.com au profit d’un nouveau format d’adresse, plus facilement identifiable, et donc bloquable, par les sites tiers, remettant en cause l’utilité même du produit.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !