AppleのHide My Emailで隠したメールアドレスが露出する脆弱性
- タグ
- 国外
発見したEasyOptOutsの報告によると、AppleのiCloud+の機能「Hide My Email」で、そのアドレス宛てのメールが迷惑メールとして拒否されると、iCloudのメールサーバーが返す拒否のエラーメッセージに、隠すはずのメールアドレスが含まれていた［2］。EasyOptOutsは、脆弱性は修正されたものの、隠されたアドレスが第三者のログに残っている可能性があるとした［2］。
脆弱性の内容
Appleは2021年6月7日の発表で、iCloud+にiCloud Private RelayやHide My Emailなどの新機能を追加料金なしで含めるとし、Hide My EmailをSafari・iCloudの設定・メールに組み込むとした［7］。EasyOptOutsの説明では、Hide My Emailはランダムで固有のアドレスを生成して仲介させ、iCloud+の利用者が個人の恒久的なメールアドレスを伏せてメールを送受信できるようにする［2］。
EasyOptOutsの限られた試験では、拒否のエラーメッセージに隠されたアドレスが含まれた割合は100%だった〔注1〕［2］。迷惑メール以外の種類の拒否にも問題があったが、おそらく頻度は低いとした［2］。拒否の理由は、Appleの管理の外にある第三者のログに保存される［2］。
EasyOptOutsは顧客へのメールの送信にMailgunを使っており、Mailgunは配信と拒否のログを保存する［2］。EasyOptOutsのログの保存は数日だけだが、送信者によっては何年も残す［2］。EasyOptOutsが送ったメールでは、Hide My Email経由で転送されたメールの拒否の率がはるかに高かった［2］。漏れていた隠されたアドレスには、Gmail・Yahoo・Outlook・Protonなどのドメインのものがあった［2］。
EasyOptOutsが2025年7月9日にAppleへ報告した別の問題では、転送先のアドレスを利用者が削除した場合の拒否通知にも、隠されたアドレスが含まれた［2］。EasyOptOutsは、この問題は広く悪用できたとは考えていないとした［2］。2026年3月20日には、エラーメッセージがアドレス全体を出さなくても、その一部が隠されたアドレスのドメインを出すことに気付き、Appleに報告した［2］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | EasyOptOuts、Apple | EasyOptOutsが顧客宛てのメールの異常な数の拒否から問題を見つけて報告し、Appleが隠されたアドレスを知られることは設計上意図していないと確認して詳細を求めた | ［2］ |
| 2025年 | EasyOptOuts | 再現できる手口を考え、詳しい報告をAppleに出した〔注2〕 | ［2］ |
| 2025年 | Apple | 脆弱性を確認中とする最初の連絡を送った | ［2］ |
| 2026年 | Apple | 脆弱性を修正したと伝え、確認を求めた | ［2］ |
| 2026年 | EasyOptOuts | 最初の報告の再現手順で、修正されていないことを確かめた | ［2］ |
| 2026年 | EasyOptOuts、Apple | EasyOptOutsが進捗を問い、Hide My Emailの新規利用の制限を提案し、Appleが調査が終わるまで公表を控えるよう求めた | ［2］ |
| 2026年 | Apple | 今後数週間に予定するセキュリティアップデートで対処する計画だと返信した | ［2］ |
| 2026年 | EasyOptOuts | 404 Mediaの記者に脆弱性を開示し、記者がAppleにコメントを求めた | ［2］ |
| 2026年 | Apple、EasyOptOuts | Appleが再び修正したと伝え、EasyOptOutsは修正されていないと判断した | ［2］ |
| 2026年 | 404 Media | 脆弱性の存在を報じた | ［2］ |
| 2026年 | Apple | 第三者のMTAサーバーからの拒否通知で保護されたアドレスが露出する問題を修正したと伝え、第三者のMTAサーバーのより広いエラーメッセージに関する追加の懸念は調査中とした | ［2］ |
| 2026年 | Apple | パッチを出した（404 Mediaへの説明では、このパッチで問題を完全に修正した） | ［5］ |
| 2026年 | EasyOptOuts | 既知の手口が修正されたことを確かめた | ［2］ |
| 2026年 | Apple | 報告の挙動を例外的な場合も含めて解消したと考えると確認した | ［2］ |
| 2026年 | 原告 | 米国カリフォルニア州北部地区連邦地方裁判所に集団訴訟の訴状を出した | ［1］ |
悪用の状況
EasyOptOutsは、悪用されていたかどうかについて、どちらの証拠も持っていないとした［2］。MacRumorsは7月16日の記事で、予防のために手順が公表されていないため、悪用された既知の事例は無いと報じた［4］。
MacRumorsの7月1日の記事によると、404 Mediaは脆弱性がまだ悪用できるとして技術的な詳細を伏せ、その週に自社のHide My Emailのアドレスで問題を確かめた［3］。同じ記事でEasyOptOutsは、1年以上前にAppleへ報告したが修正されない理由が分からず、これ以上待てないとした［3］。
修正と回避策
修正の確認の経過
EasyOptOutsの報告では、6月30日に修正したと伝えた段階のAppleは、迷惑メールの本文を含まない形で試験していた［2］。その後、Appleは自社側で挙動を再現でき、修正の作成と展開に取り組んでいると伝えた［2］。Appleが7月2日に修正を伝えた後も、EasyOptOutsの限られた試験では、アドレス全体は漏れなかったがドメインはまだ漏れていた［2］。
EasyOptOutsは、既知の手口の修正を確かめた試験で、独自の5xxエラーをいくつ返させても内容が隠されたことから、恒久的な拒否のすべてで修正されたとみられるとした［2］。アドレスが漏れうる理論上の経路には、試していないものが残った［2］。7月13日には一時的な拒否と正常な配信の場面も試し、追加の問題は見つからなかった［2］。
MacRumorsの7月21日の記事によると、404 Mediaは修正を確かめ、悪用できなくなったとして仕組みの詳細を伝えた［5］。EasyOptOutsは同じ記事で、7月7日より前に作成されたHide My Emailのアドレスに結び付いた隠されたアドレスは、露出して第三者のログに残っている可能性があるとみなすべきだとした［5］。
EasyOptOutsは、多くの利用者は自分では影響を判断できず、影響を受けた人を判断するのに最も適するのはAppleだが、Appleが判断できるかは分からないとした［2］。メールの受信側と送信側の事業者には、共有された漏えいアドレスをログから削除するよう勧めた［2］。
米国での集団訴訟
原告は訴状で、4つのクラスを代表し、価格の上乗せ分と利用料の損害賠償と、Appleが約束した保護を提供するか提供できないと明示するよう求める差止めを請求した［1］。訴状が挙げた請求の原因はカリフォルニア州の不正競争防止法・虚偽広告法・消費者法的救済法の違反、詐欺、過失による不実表示、契約違反、黙示の契約違反、商品性の黙示の保証違反、準契約または不当利得の9つだった［1］。訴状は、提出の段階で脆弱性は修正されていないと主張した〔注3〕［1］。
未公表の事項
注
出典
公的機関
- ［1］United States District Court, Northern District of California『CLASS ACTION COMPLAINT AND DEMAND FOR JURY TRIAL』（2026年7月15日公開、PDF）
調査・観測
- ［2］EasyOptOuts『How Apple's Hide My Email exploit worked and why you're still at risk』（公開日不明、2026年11月7日閲覧）
報道機関
- ［3］MacRumors『Apple Hide My Email Vulnerability Exposes Real Email Addresses』（2026年7月1日公開）
- ［4］MacRumors『Apple Sued Over Reported 'Hide My Email' Flaw』（2026年7月16日公開）
- ［5］MacRumors『Apple Patches Hide My Email Flaw More Than a Year After It Was Reported』（2026年7月21日公開）
- ［6］The Hacker News『Apple Fixes Hide My Email Bug That Exposed Real Addresses in Mail Logs』（2026年7月21日公開）
背景資料
- ［7］Apple Inc.『Apple advances its privacy leadership with iOS 15, iPadOS 15, macOS Monterey, and watchOS 8』（2021年6月7日公開）
更新記録
- 2026年7月4日：公開した。
- 2026年7月15日：米国カリフォルニア州北部地区連邦地方裁判所に出された集団訴訟の訴状（出典1）を加え、「時系列」と「修正と回避策」を改めた。
- 2026年7月16日：MacRumorsの7月16日の記事（出典4）を加え、「悪用の状況」を改めた。
- 2026年7月21日：MacRumorsの7月21日の記事（出典5）とThe Hacker Newsの記事（出典6）を加え、「時系列」「修正と回避策」「未公表の事項」「注」を改めた。