Apple annonce avoir corrigé la faille de sécurité au niveau de sa fonction « Masquer mon adresse e-mail » qui permettait de découvrir l’adresse e-mail réelle des utilisateurs derrière chaque alias anonyme. Le correctif, qui a eu lieu le 3 juillet, intervient plus d’un an après le premier signalement du problème par un chercheur en sécurité.

iCloud Logo

Le chercheur Tyler Murphy, à l’origine de la découverte, avait indiqué au début du mois avoir testé la faille et avait réussi à obtenir la véritable adresse à chaque fois. Chaque tentative aboutissait au même résultat : la révélation de l’adresse réelle masquée derrière l’alias « Masquer mon adresse e-mail ».

Tyler Murphy avait alerté Apple dès juin 2025, soit plus d’un an avant que l’entreprise ne déploie un correctif efficace. Plusieurs tentatives de correctif ont eu lieu entre le signalement initial en juin 2025 et la résolution finale du 3 juillet 2026, sans parvenir à éliminer totalement le problème avant cette date.

« Masquer mon adresse e-mail », la fonction d’iCloud+ qui génère des adresses anonymes composées de deux mots aléatoires, d’un nombre et du domaine @icloud.com, transférait normalement les messages reçus vers la véritable boîte mail de l’utilisateur sans jamais dévoiler cette dernière. Le mécanisme exploité par les attaquants reposait sur le rejet automatique d’un message comme spam : ce rejet déclenchait une réponse qui révélait l’adresse réelle, contournant ainsi toute la protection censée masquer l’identité du destinataire.

Un risque qui persiste malgré le correctif

Apple a indiqué à 404 Media avoir résolu intégralement le problème. Cependant, plusieurs éléments montrent que le risque n’a pas totalement disparu pour les utilisateurs ayant créé un alias avant cette correction. En effet, les adresses « Masquer mon adresse e-mail » générées avant le 7 juillet 2026 peuvent rester exposées. Aussi, les journaux de transfert de messages, souvent conservés par des serveurs tiers, contiennent encore la trace de l’adresse réelle. Et Tyler Murphy et le chercheur Weiner estiment que ce risque lié aux journaux tiers n’est pas éliminé par le correctif d’Apple.

Une action collective a été déposée contre Apple à la suite de cette faille de dsécurité. La plainte réclame le remboursement des abonnements iCloud+ souscrits par les utilisateurs concernés ainsi qu’une injonction obligeant Apple à renforcer durablement la protection de cette fonction.