كشفت تقارير تقنية صُنفت بالخطيرة عن وجود ثغرة أمنية في ميزة “إخفاء بريدي الإلكتروني” التي تقدمها شركة آبل، تتيح للقراصنة والجهات الخبيثة كشف البريد الإلكتروني الحقيقي لأي مستخدم يعتمد على هذه الخاصية المخصصة لحماية الخصوصية.
وأوضح تايلر ميرفي، المؤسس المشارك لخدمة “Easy Opt Out”، في تصريحات لموقع “404 Media”، أن شركة آبل على علم تام بهذه المشكلة منذ أكثر من عام كامل، إلا أنها لم تقم بإصلاح هذا الخطأ البرمجي حتى الآن.
وتُعد خدمة “إخفاء بريدي الإلكتروني” إحدى المزايا الأساسية المتاحة ضمن اشتراكات “iCloud Plus” (والتي تبدأ قيمتها من دولار واحد شهريًا)، حيث توفر أدوات تشبه مواقع البريد الإلكتروني المؤقت؛ إذ تتيح للمستخدم إنشاء عنوان بريد عشوائي بنطاق “icloud.com” لاستخدامه عند التسجيل في المواقع منعًا لمشاركة البريد الحقيقي، على أن تنتهي صلاحية هذا العنوان البديل بعد فترة زمنية محددة.
وتُستخدم هذه العناوين المستعارة على نطاق واسع لضمان الخصوصية عند الاشتراك في تطبيقات جديدة أو تحميل برامج تجريبية، بحيث إذا تعرضت تلك المواقع للاختراق لاحقًا، تظل البيانات والبريد الحقيقي للمستخدم في أمان؛ وهو ما تضربه الثغرة المكتشفة في مقتل.
ورغم أن ميرفي لم يكشف عن التفاصيل التقنية الدقيقة لآلية عمل الثغرة، إلا أنه أكد إجراء تجارب مع متطوعين أثبتت إمكانية استخدام 100% من العناوين المستعارة المخفية للوصول إلى البريد الحقيقي عبر مواقع البحث عن الهوية المتاحة للعامة. وتعمّد موقع “404 Media” حجب تفاصيل الثغرة الأمنية نظرًا لإمكانية استغلالها من قبل القراصنة وقت النشر.
ووفقًا للتسلسل الزمني للأزمة، فقد أبلغ ميرفي شركة آبل بالمشكلة لأول مرة في يونيو 2025. وفي مارس 2026، أفادت آبل بأنها عالجت الثغرة، لكن ميرفي تحقق من الأمر واكتشف أنها لا تزال قائمة. وبحلول مايو 2026، عادت آبل لتؤكد أنها لا تزال تحقق في الأمر، مطالبةً ميرفي بعدم نشر المعلومات علنًا لحماية المستخدمين لحين اكتمال التحقيق، وهو ما رفضه الأخير مقررًا كشف مستنداته.
وينصح الخبراء مستخدمي الميزة بالتوقف عن الاعتماد عليها مؤقتًا، بانتظار التحديثات التي تخطط آبل لإطلاقها هذا الصيف، والتي تتضمن تغيير نطاق الخدمة من “icloud.com” إلى “private.icloud.com”.
ولم تتضح بعد الأسباب الكامنة وراء رغبة آبل في تغيير اسم النطاق، وسط مخاوف من أن يسهل النطاق الجديد على المواقع الإلكترونية حظر أي بريد يحتوي على عبارة “private.icloud.com” تلقائيًا، مما قد يجبر المستخدمين على مشاركة عناوينهم الحقيقية، الأمر الذي سيقلل بشكل كبير من القيمة الحمائية للميزة.
