苹果“Hide My Email”被曝安全漏洞：测试中 100% 可溯源真实邮箱

科技圈又爆出个挺打脸的消息——苹果那个号称能“完全匿名”的 iCloud+ 功能，居然存在一个不小的漏洞，可能让你的真实邮箱直接暴露。简单说，你用起来觉得放心，但攻击者花不了几分钟就能把它跟你的真身对上号。

先说说这个“Hide My Email”（隐藏我的邮件）是干什么用的。它面向 iCloud+ 订阅用户开放，让你能生成一个随机邮箱地址，后缀看起来像是 @icloud.com 或者 @privaterelay.appleid.com。别人发邮件到这个匿名地址，系统会自动转发到你真正的私人邮箱里。初衷很美好：帮你挡住垃圾邮件，避免被追踪。

漏洞细节：五分钟，100%命中率

问题出在哪呢？数据清除服务公司 EasyOptOuts 的联合创始人 Tyler Murphy 在测试中发现了这个缺陷。这可不是什么偶然发现或者理论漏洞，他们实打实地做了验证——404 Media 专门生成了一个全新的随机隐藏地址交给 Murphy 去追踪，结果才五分钟，Murphy 就成功提取出了这个地址背后绑定的真实 Apple ID 邮箱。

重点是，这漏洞不是偶然出现或只对个别案例生效。Murphy 坦言，到目前为止，他测试过的所有隐藏邮箱全都成功复现了问题，成功率——100%。当然，因为具体的利用方法还没有在公开渠道披露，目前谁也没法确定有多少人已经悄悄盯上了这个漏洞。

修复时间线：令人窒息的操作

更让人心塞的，恐怕是苹果对待漏洞的修复态度。按照披露信息，EasyOptOuts 早在 2025 年 6 月就把复现步骤正式反馈给了苹果安全团队。接下来的故事，各位可能感觉并不陌生：2026 年 3 月，苹果支持团队表示已经通过后台修改把问题解决了——然而，独立验证随即证明，漏洞仍然活得好好的。到了同年 5 月，苹果工程团队要求研究人员先别声张，承诺“未来几周内”会发布安全补丁。

研究团队最终选择公开披露。原因也很直白——修复过程拖了快一年，他们觉得用户完全有权知道自己的数据从来没真正安全过。

更深层的问题：风险远不止邮箱泄露

这个漏洞真正让人担心的是它带来的连锁反应。Murphy 警告说，现在市面上有不少公开的搜索目录，能很轻易地把一个邮箱地址跟家庭住址、电话号码等信息关联起来。如果一个记者、活动人士或者任何依赖这个匿名功能保护真实身份的高风险用户，他们的邮件其实从一开始就没脱掉外衣——后果想想就知道了。

话说回来，苹果在隐私领域的这档子事也不是头一遭。这几年，这家公司就曾因为关掉“诊断分析”功能后还在悄悄收集用户数据而吃过官司；另外，它那个号称能随机化 Wi-Fi MAC 地址、让公共网络上物理足迹无法被追踪的工具，也被曝出根本没生效，照样泄露真实标识符。宣传和技术现实之间，似乎总有那么一段距离。