Una vulnerabilidad en la herramienta «Ocultar mi correo electrónico» de Apple podría exponer las direcciones reales de los usuarios. La falla fue revelada por 404 Media, que confirmó el problema en sus propias pruebas con la ayuda de un investigador de seguridad.
El caso es especialmente delicado porque esta funcionalidad existe precisamente para hacer lo contrario: ocultar la dirección de correo electrónico real del usuario cuando se registra en sitios web, servicios o aplicaciones.
Falla expone correo electrónico de ID de Apple real
“Ocultar mi correo electrónico” es parte de iCloud+, la suscripción paga de Apple. La herramienta le permite crear direcciones de correo electrónico aleatorias, que generalmente terminan en @icloud.com, para usarlas en lugar de su correo electrónico personal.
La idea es sencilla: el usuario puede registrarse en un servicio sin revelar su dirección real. Esto ayuda a reducir el spam, separar cuentas y evitar que su correo electrónico principal se almacene en sitios que podrían ser atacados en el futuro.
Pero, según 404 Media, la vulnerabilidad permite vincular estas direcciones anónimas al correo electrónico real asociado con el ID de Apple.
El problema fue reportado hace más de un año.
La falla fue descubierta e informada a Apple por Tyler Murphy, cofundador de EasyOptOuts, en junio de 2025. Apple reconoció el problema el mes siguiente y dijo que estaba investigando.
En marzo de 2026, la empresa informó a Murphy que el problema se había resuelto en una actualización. Sin embargo, al volver a realizar la prueba, el investigador se dio cuenta de que la falla aún estaba activa y envió más información a Apple.
En mayo de 2026, Apple volvió a decir que todavía estaba investigando el caso y pidió que no se revelara la vulnerabilidad. La compañía también indicó que se esperaba una corrección “en las próximas semanas”, pero eso aún no ha sucedido.
404 Media confirmó el fallo
Para verificar el problema de forma independiente, 404 Media creó una nueva dirección a través de «Ocultar mi correo electrónico» y la envió a Murphy.
Unos cinco minutos más tarde, el investigador pudo devolver el correo electrónico real asociado con la cuenta de Apple, que se suponía debía permanecer oculta.
404 Media no ha publicado los detalles técnicos de la falla porque aún puede explotarse. En otras palabras, publicar el método podría facilitar ataques contra los usuarios.
¿Por qué es esto serio?
En las pruebas limitadas de Murphy con voluntarios, el 100% de las direcciones «Ocultar mi correo electrónico» eran explotables.
El riesgo no está sólo en descubrir el correo electrónico real. Según el investigador, los sitios públicos de búsqueda de personas pueden vincular una dirección de correo electrónico a otros datos personales, como el nombre, la ubicación y la información asociada.
Esto significa que las personas que utilizan el recurso por motivos de privacidad o seguridad pueden estar más expuestas de lo que pensaban.
La funcionalidad sigue siendo útil, pero requiere cuidado.
“Ocultar mi correo electrónico” sigue siendo una herramienta útil para reducir el spam y evitar que su correo electrónico principal se comparta con múltiples servicios. El problema es que, llegados a este punto, el informe indica que no debe tratarse como una protección infalible.
Para aquellos que sólo utilizan la funcionalidad para organizar cuentas o evitar mensajes promocionales, el impacto puede ser menor. Pero para quienes dependen de él para ocultar su verdadera identidad, la situación es más preocupante.
Hasta que haya una solución oficial y confirmada, es mejor tener cuidado al utilizar direcciones creadas mediante “Ocultar mi correo electrónico” en situaciones delicadas.
Ver también: iOS 26.5.2 llegó al iPhone y hay buenas razones para actualizar
890,00€Amazonas
959,00€-7%
