「メールアドレスを隠す」機能の深刻な脆弱性により、ユーザーのプライバシーが侵害される

Appleの「メールを隠す」機能は、iCloud Plusサブスクリプションサービスの定番機能で、実際のメールアドレスをランダムなエイリアスで隠すことでユーザーの身元を保護するように設計されていますが、重大なセキュリティ脆弱性を抱えていることが判明しました。

脆弱性の発見

長年にわたり、ユーザーはスパマーやデータブローカーによるメインアドレスの収集を防ぐために「メールを隠す」機能を利用してきました。しかし、セキュリティ研究者のタイラー・マーフィー氏の報告を引用した404 Mediaのレポートによると、このシステムは主張するほど万全ではないことが示されています。1年以上前にこの問題をAppleに最初に指摘したマーフィー氏は、攻撃者がエイリアス保護を回避して、iCloudユーザーの実際のメールアドレスを明らかにすることが可能であることを実証しました。

問題のある開示のタイムライン

標準的な責任ある開示プロトコルから逸脱し、この脆弱性はかなり前にAppleに報告されたにもかかわらず、未だに修正されていません。業界の標準的な慣行では、通常、企業はセキュリティ上の欠陥を検証して解決するために 90 日間の猶予が与えられますが、このケースは 12 か月以上も長引いています。報道によると、Apple は研究者に対し、今年 3 月に修正が実装されたと伝えたとのことですが、調査員による追跡テストでは、このメカニズムが現在も悪用可能であることが確認されています。Apple は研究者に連絡を取り、機能するパッチが完全に展開されるまで公開を延期するよう促しましたが、バグが依然として存在するため、プライバシーを重視する多くのユーザーが危険にさらされています。

代替案を検討すべき理由

この特定のセキュリティ上の欠陥に加えて、Apple はエイリアスを新しいサブドメイン「@private.icloud.com」に移行しています。プライバシーの専門家は、この変更により、ウェブサイトや広告主がこれらのエイリアスを特定してブロックすることが容易になり、メールマスクを使用する目的が事実上損なわれる可能性があると警告しています。

デジタルフットプリントが気になる場合は、いくつかの強力な代替手段があります。

• SimpleLogin (Proton 製): すべてのプラットフォームでエイリアス用の使いやすい管理ツールを提供する、高く評価されているサービスです。
• DuckDuckGo Email Protection: 受信メールから隠されたトラッキングピクセルを削除しながら '@duck.com' エイリアスを生成する、無料の軽量サービスです。
• Mozilla Firefox Relay: シンプルなブラウザ拡張機能を通じて、メールマスクの作成と管理のための合理化されたインターフェースを提供します。

Apple は業界をリードするプライバシー ツールのスイートを構築していますが、この事件は、たとえ「魔法のような」セキュリティ機能であっても、常に警戒する必要があることを改めて思い起こさせます。決定的な修正パッチが確認されるまでは、ユーザーはAppleのネイティブメールマスキングシステムへの依存度を再評価した方が良いかもしれません。