Une grave faille de sécurité dans la fonction « Masquer mon e-mail » compromet la confidentialité des utilisateurs

La fonctionnalité «Masquer mon adresse e-mail» d'Apple, un élément essentiel du service d'abonnement iCloud Plus conçu pour protéger l'identité des utilisateurs en masquant leurs véritables adresses e-mail par des alias aléatoires, présente une faille de sécurité importante.

Découverte de la faille

Pendant des années, les utilisateurs ont fait confiance à «Masquer mon adresse e-mail» pour empêcher que leurs adresses principales ne soient récupérées par des spammeurs ou des courtiers en données. Cependant, un rapport de 404 Media, citant le chercheur en sécurité Tyler Murphy, indique que le système n'est pas aussi infaillible qu'il le prétend. Murphy, qui a initialement porté ce problème à l'attention d'Apple il y a plus d'un an, a démontré qu'il est possible pour des attaquants de contourner la protection par alias et de découvrir la véritable adresse e-mail d'un utilisateur iCloud.

Chronologie inquiétante de la divulgation

Contrairement aux protocoles habituels de divulgation responsable, la vulnérabilité n'a toujours pas été corrigée malgré son signalement à Apple il y a longtemps. Alors que la pratique courante du secteur accorde généralement aux entreprises 90 jours pour vérifier et corriger les failles de sécurité, ce cas traîne depuis plus de 12 mois. Apple aurait informé le chercheur qu'un correctif avait été implémenté en mars dernier; cependant, des tests complémentaires menés par les enquêteurs ont confirmé que le mécanisme reste exploitable. Apple a contacté le chercheur, l'exhortant à reporter toute divulgation publique jusqu'au déploiement complet d'un correctif fonctionnel, mais la persistance de ce bug expose de nombreux utilisateurs soucieux de leur confidentialité.

Pourquoi envisager des alternatives

Outre cette faille de sécurité spécifique, Apple migre également ses alias vers un nouveau sous-domaine «@private.icloud.com». Des experts en protection de la vie privée avertissent que ce changement pourrait faciliter l'identification et le blocage de ces alias par les sites web et les annonceurs, annulant ainsi l'intérêt même d'utiliser un masque d'adresse électronique. Si votre empreinte numérique vous préoccupe, plusieurs alternatives fiables existent: SimpleLogin (par Proton): un service très apprécié qui propose des outils de gestion conviviaux pour les alias sur toutes les plateformes. DuckDuckGo Email Protection: un service gratuit et léger qui génère des alias «@duck.com» tout en supprimant les pixels de suivi cachés des courriels entrants. Mozilla Firefox Relay: offre une interface simplifiée pour créer et gérer des masques d'adresse électronique grâce à une simple extension de navigateur. Bien qu'Apple ait développé une suite d'outils de protection de la vie privée de pointe, cet incident nous rappelle brutalement que même les fonctionnalités de sécurité les plus performantes nécessitent une vigilance constante. En attendant la confirmation d'un correctif définitif, les utilisateurs pourraient souhaiter reconsidérer leur dépendance au système de masquage des e-mails natif d'Apple.