苹果‘隐藏我的邮箱’存在安全问题测试显示100%可追溯真实邮箱

先说说这个功能本身的逻辑：对iCloud+的付费用户来说，“隐藏我的邮件”本意是在互联网上为自己加一层保护伞。它能生成一个以 @icloud.com 或 @privaterelay.appleid.com 结尾的随机邮箱地址，所有发到这个地址的邮件，系统会自动转寄到你的真实收件箱。也就是说，你可以在各种网站上用这个假地址注册，既收得到通知，又不用担心数据被追踪、收垃圾邮件。理想很丰满，对吧？

那问题出在哪儿呢？

根据 404 Media 在 7 月 1 日的报道，有安全研究人员发现，这套匿名机制背后有一个非常致命的缺陷——攻击者完全有能力把这层“假面”扒下来，把那个随机生成的转发地址，反向关联到你的真实 Apple ID 邮箱上。

发现这个漏洞的人，是数据清除服务公司 EasyOptOuts 的联合创始人 Tyler Murphy。为了验证问题的严重性，404 Media 特意全新生成一个隐藏地址交给 Murphy 做测试。结果呢？大约五分钟时间，Murphy 就成功地从那个地址里，提取出了对应的真实 Apple ID 邮箱。

Murphy 表示，虽然目前测试范围有限，但截至目前，所有他测试过的隐藏邮箱全都中招，成功率是 100%。需要提醒的是，具体的漏洞利用方法目前还没有公开，所以我们暂时无法确认是否已经有其他组织或个人，已经在利用这个漏洞收集用户信息了。

如果说前面的一切还只是技术问题，那修复的时间线，才是真正让人窝火的部分。

EasyOptOuts 最早在 2025 年 6 月，就把完整的复现步骤正式提交给了 Apple 安全团队。到了 2026 年 3 月，Apple 那边的支持人员回复说，他们已经在后台做过系统修改，问题应该已经解决。但独立验证的结果显示，漏洞依然坚挺地在那里。直到同年 5 月，Apple 的工程团队才出面，要求研究人员在继续调查期间暂时不要对外声张，并承诺“未来几周内”会发布安全补丁。结果呢？等来的只有更长的沉默和拖延。

最终，研究团队忍无可忍。他们认为用户有权知道自己正处于数据暴露的风险之中，于是决定公开披露。

公开的人员搜索目录，可以轻易地将邮箱凭证与家庭住址、电话号码等个人信息关联起来——这意味着，如果你是一个依赖“隐藏我的邮件”这个匿名工具来保护自己的记者、活动人士、或者任何处在高风险环境中的用户，你现在的身份暴露风险，很可能是直接且紧迫的。

说来也不稀奇，这已经不是 Apple 第一次在隐私宣传和技术现实之间出现割裂了。最近几年里，其诊断分析跟踪功能被发现，即使被用户明确关闭后仍在持续运行，这直接引来了法律层面的压力。更早之前，也有分析指出，Apple 用于隐藏设备在公共网络上的物理足迹的本地 Wi-Fi MAC 地址随机化工具，实际上同样没能生效——它仍然会把真正的标识符漏出去。