Apple 'Hide My Email' 漏洞泄露用户的真实电子邮箱地址

# EasyOptOuts - 个人信息清除服务 | 仅需19.99美元/年 来源：https://easyoptouts.com/guides/apple-hide-my-email-is-leaking-email-addresses 苹果的"隐藏邮件地址"服务被全球 iCloud+ 用户广泛使用，它允许用户发送和接收邮件，同时隐藏他们个人的永久电子邮件地址。该服务会生成随机、唯一的电子邮件地址，作为你真实邮箱地址和收件人之间的中介。例如，你可能获得一个类似 [email protected] 的地址，用来隐藏你的真实邮箱 [email protected]。用户在注册账号或进行通信时，会使用这些 Hide My Email 地址以保持隐私和匿名性。 **我们发现了 Hide My Email 中的漏洞，攻击者能够借此发现该服务背后本应被隐藏的邮件地址。** 我们已于一年多前向苹果报告了此问题，但截至 2026 年 6 月 30 日，该漏洞仍未修复。大约一个月前，我们意识到该漏洞的严重性和影响范围比最初想象的更大。现在我们决定公开披露此漏洞的存在，因为我们认为 Hide My Email 用户有权知道他们的电子邮件地址可能并未真正隐藏。我们希望用户在使用 Hide My Email 时，能够全面评估这一风险，从而做出明智的决策。特别感谢 404 Media 的 Joseph Cox（https://www.404media.co/apple-hide-my-email-vulnerability-reveals-peoples-real-email-addresses/）作为值得信赖的第三方，帮助我们核实问题并以负责任的方式进行公开报道。 以下是时间线： - **2025 年 6 月 11 日：** 我们发现 Hide My Email 存在一个漏洞，并向苹果报告。苹果确认 Hide My Email“并非设计用于允许发现隐藏地址”，并要求提供更多细节。 - **2025 年 6 月 13 日：** 我们提交了包含复现步骤的详细报告。 - **2025 年 6 月 20 日：** 我们提供了更多信息，希望能帮助苹果排查问题。 - **2025 年 7 月 9 日：** 我们报告了一个类似但不同的漏洞，该漏洞同样能导致隐藏邮件地址被暴露。 - **2025 年 7 月 14 日：** 苹果首次回复，表示正在审查这些漏洞。 - **2026 年 3 月 3 日：** 苹果称漏洞已修复，并要求我们验证。 - **2026 年 3 月 19 日：** 我们根据最初报告中的复现步骤，确认漏洞并未修复。 - **2026 年 5 月 22 日：** 我们意识到漏洞的严重性和影响范围可能比最初认为的更大，并向苹果报告。**苹果从未确认我们关于严重性升级的报告。** - **2026 年 6 月 30 日：** 苹果再次声称漏洞已修复，并要求我们验证。我们确认漏洞仍然存在。 **为了保护 Hide My Email 用户的隐私，在漏洞修复之前，我们不会讨论或公开披露漏洞利用的具体细节。** 我们希望苹果即使在漏洞修复前也能采取措施缩小攻击面。例如，禁用创建新的 Hide My Email 地址可能会有所帮助。同时，通知所有 Hide My Email 用户此风险也是负责任的做法。 我们邀请苹果与我们更紧密、更公开地合作，以便尽快解决此问题。