La función Hide My Email de Apple, diseñada para ocultar la dirección real del usuario mediante correos desechables, tiene una vulnerabilidad que permite revelar el email verdadero. El fallo, descubierto por el investigador Tyler Murphy, lleva al menos un año sin parchearse, y en las pruebas realizadas el 100% de las direcciones generadas eran explotables.

Un agujero en la privacidad prometida

Lanzada en 2021, Hide My Email crea direcciones aleatorias con el dominio @icloud.com que reenvían los mensajes al correo personal del usuario. La idea es reducir la cantidad de información que se entrega a servicios externos. Sin embargo, según informa 404 Media, que verificó la existencia del fallo junto a Murphy, la función está fallando precisamente en lo que promete: ocultar.

Murphy, cofundador de EasyOptOuts –un servicio de eliminación de datos de sitios de corredores de información–, detectó el problema en junio de 2025. Alertó a Apple de inmediato. La compañía le respondió que el asunto había sido «abordado» en marzo de 2026, pero cuando el investigador continuó probando, la vulnerabilidad seguía siendo explotable. Meses después, Apple le comunicó que todavía estaba investigando el caso.

«No conocemos el alcance completo del problema, pero en nuestras pruebas limitadas con voluntarios, el 100% de las direcciones de Hide My Email eran explotables», declaró Murphy a 404 Media.

Los detalles técnicos del bug no se han hecho públicos para evitar que sea aprovechado por atacantes. Lo que sí se sabe es que, en los ensayos realizados, una dirección @icloud.com recién creada podía vincularse directamente con la dirección real de su propietario.

Riesgos más allá del correo

Murphy señaló que «los sitios públicos de búsqueda de personas facilitan vincular una dirección de email con otros datos personales, por lo que quienes confían en Hide My Email para su seguridad pueden estar en riesgo». El problema es especialmente grave si se considera que muchos usuarios recurren a esta función para protegerse en foros, suscripciones o servicios donde no quieren exponer su identidad.

Apple no ha respondido a las solicitudes de comentarios de los medios. La empresa, que ha construido gran parte de su reputación sobre la privacidad del usuario, ya ha enfrentado cuestionamientos similares en el pasado. En 2022 fue demandada porque las apps de iPhone seguían enviando datos de análisis a Apple incluso con el ajuste de privacidad desactivado. En 2023, investigadores encontraron que otra herramienta de privacidad –la que aleatoriza las direcciones MAC del Wi-Fi– era «efectivamente inútil» porque exponía la dirección real.

Sin parche a la vista

A día de hoy, el fallo de Hide My Email sigue sin corregirse. Apple confirmó a Murphy hace un par de meses que aún investiga el problema, pero no ha ofrecido un plazo para su solución. Mientras tanto, cualquier persona que haya utilizado una dirección desechable de iCloud podría tener su correo real al descubierto sin saberlo.

La situación pone de relieve la dificultad de mantener promesas de privacidad cuando los sistemas complejos esconden vulnerabilidades inesperadas. Por ahora, los usuarios que confían en Hide My Email no tienen más opción que esperar a que Apple cumpla su palabra y cierre la brecha.