苹果已修复隐藏电子邮件漏洞，7月7日前创建地址仍存泄露风险

最近苹果悄悄修复了一个隐私漏洞，涉及 iCloud+ 里的“隐藏电子邮件”（Hide My Email）功能。这个漏洞的来龙去脉挺有意思——不是苹果自己发现的，而是一家叫 EasyOptOuts 的公司最早察觉，并在 2025 年 6 月就报告给了苹果，但当时并没有得到及时处理。苹果曾在 2026 年 3 月回复说已经修复，可 EasyOptOuts 的联合创始人 Tyler Murphy 发现问题依然存在，于是联系了科技媒体 404Media 公开披露，才倒逼苹果在 7 月 3 日正式部署了补丁。

先简单科普一下这个功能：Hide My Email 是苹果在 iCloud+ 中提供的隐私工具，可以生成一个随机匿名邮箱地址，供用户在注册服务或收发邮件时使用。它的核心价值在于，真实邮箱地址不会直接暴露给第三方，从而降低跨服务关联和隐私泄露的风险。

那么漏洞具体是什么？攻击者可以利用这个缺陷，将匿名生成的转发地址逆向关联到用户的真实 Apple ID 邮箱。换句话说，原本用来隐藏身份的“马甲”邮箱，反而成了暴露真实身份的线索。这显然与苹果标榜的隐私保护理念背道而驰。

404Media 在 7 月 1 日首次披露了该漏洞，而 7 月 21 日的最新博文中确认，苹果确实已经修复了这个问题，目前无法再通过该漏洞进行逆向关联。不过，媒体也提醒了一个关键风险点：

Hide My Email 泄露隐藏邮件地址的漏洞目前虽然已经被修复，但是我们认为，对于目前使用 Hide My Email 的用户而言，依然没有解除所有安全风险。 我们认为在 2026 年 7 月 7 日之前创建，关联 Hide My Email 的邮件地址都可能存在泄露风险，并且依然保留在第三方日志中。

这意味着，即便漏洞本身已被封堵，但在 2026 年 7 月 7 日之前通过该功能创建的所有匿名地址，理论上仍有可能被第三方日志记录并关联到真实身份。所以，如果你在 7 月 7 日之前使用了 Hide My Email，建议尽早更换新的匿名地址，尤其是那些用于重要服务或账户注册的邮箱。别等到真出问题了再后悔——隐私保护这件事，主动一点总没错。