Apple 修補 Hide My Email 漏洞：退信可洩露真實地址，用家而家要做咩

Apple 向 404 Media 表示，已喺 7 月 3 日修補 Hide My Email 嘅私隱漏洞，404 Media 亦確認原有方法用唔到。問題拖咗超過一年先真正處理，而漏洞公開之後幾日就有修補，呢段時間線難免令人質疑 Apple 點樣處理涉及收費私隱功能嘅漏洞報告。今次修補嘅消息主要來自 Apple 向媒體交代，官方支援頁暫時未有逐項解釋技術細節。

Hide My Email 本來點運作

Hide My Email 係 iCloud+ 功能，會產生一個隨機地址，再將收到嘅郵件轉寄去用家揀定嘅真實地址。網站、商戶或者寄件人理論上只會見到中間嗰層 alias；用家回覆郵件時，Apple 官方亦話真實地址會繼續保持隱藏。iPhone、iPad、Mac 同 iCloud.com 都可以建立同管理呢啲地址，所以影響唔限於某一款裝置。

漏洞藏喺退信流程

EasyOptOuts 研究員 Tyler Murphy 同 Ben Weiner 公開嘅資料顯示，只要向指定 Hide My Email 地址寄信，而郵件俾系統當成垃圾郵件拒收，背後嘅退信處理就可能將真實轉寄地址寫入寄件方可見嘅 email log。換句話講，攻擊者只要知道一個 Hide My Email alias，當時就有方法試出後面連住邊個真實地址，毋須入侵 Apple Account。

麻煩位係正常郵件一樣可能誤中垃圾郵件過濾。研究員話，部分大型 email host 會自動拒收郵件，信件甚至去唔到用家收件匣或者垃圾郵件匣。所以翻查垃圾郵件完全判斷唔到自己有冇中招，現有公開資料未見 Apple 提供查詢工具。現有公開資料只顯示漏洞會洩露真實電郵地址，未有證據顯示密碼或者郵件內容亦有外洩。

Apple 兩次話修好，研究員都驗到仲用得

EasyOptOuts 嘅時間線顯示，團隊喺 2025 年 6 月 11 日首次向 Apple 報告，7 月再報告另一個相近漏洞。Apple 到 2026 年 3 月話問題已處理，但研究員沿用原本步驟仍可重現；6 月 30 日 Apple 再話修好，測試結果同樣失敗。404 Media 7 月 1 日公開報道之後，Apple 話最終修補喺 7 月 3 日推出。呢種前後落差，值得追問過單次程式錯誤本身。

邊類用家風險高

研究員早期用少量自願者測試時，聲稱所有受測 Hide My Email 地址都可用漏洞查出真實地址，但呢個結果唔代表所有用家已經俾人查過。風險最高係靠 alias 分隔身份嘅人，例如用嚟開敏感服務帳戶、避開騷擾，或者真實地址本身容易連到姓名、工作同其他網上資料。普通購物優惠或者電子報 alias 就算出事，實際後果通常細好多。

研究員建議將 2026 年 7 月 7 日前建立嘅地址視為可能曾經外洩，理由係正常退信都可能觸發漏洞，而第三方 mail transfer logs 往往會保留一段時間。不過呢個日期遲過 Apple 所講嘅 7 月 3 日修補日，研究員冇公開解釋四日差距；舊 logs 仍然留有資料亦係風險推斷，唔代表每個舊 alias 都已經外洩。

使唔使換晒舊地址

用開 Hide My Email 做普通登記，毋須即刻刪晒全部 alias。較實際做法係先處理涉及身份、安全或者長期帳戶復原嘅服務：建立一個修補後嘅新 alias、去相關網站更新登入及聯絡地址，確認新地址收到驗證信，再停用舊地址。未改好帳戶資料就直接停用，有機會收唔到登入碼或者密碼重設郵件。

更換 alias 可以截斷日後繼續使用舊地址，但刪除或者停用舊 alias 唔會抹走第三方可能保留嘅歷史 mail log。如果真實地址本身極敏感，亦可以評估更換實際收信地址，不過成本高，而且同樣收唔返已經流出嘅紀錄。今次最穩陣嘅處理係按帳戶敏感程度逐個換，唔使為普通電子報做一輪大搬家。

集體訴訟只係另一條線

Apple 已經因呢個漏洞喺美國面對擬議集體訴訟，入稟一方指 Apple 明知功能有問題，仍以私隱保障作招徠，涉及加州虛假廣告同消費者保障法。案件仲處於法律程序早段，亦未證明個別原告嘅地址真係俾人取得。對用家嚟講，而家較有用嘅資訊仍然係漏洞已修補，但冇可靠方法追查過去有冇洩露。

參考來源

• MacRumors — Apple Patches Hide My Email Flaw More Than a Year After It Was Reported — original report
• Apple Fixes Hide My Email Vulnerability After 404 Media Coverage — 直接報道 Apple 回覆、404 Media 修補後驗證，同研究員對退信及歷史 logs 嘅說明。
• Apple's Hide My Email could be exposing your real email address — 漏洞發現團隊公開嘅報告時間線，記錄多次通報同修補失敗。
• Set up and use Hide My Email in iCloud+ on all your devices — Apple 香港官方功能說明，確認支援裝置、建立方式同管理入口。
• Create unique, random email addresses with Hide My Email and iCloud+ — Apple 官方解釋轉寄及回覆機制，亦確認可以停用或刪除舊地址。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。