修正パッチ配布前に作成したアドレスは漏えいのリスク
アップル、「メールを非公開」の脆弱性を修正。1年前から認識も放置、集団訴訟へ
Share
アップルは、iCloud+の「メールを非公開」機能に存在した脆弱性を修正したと報じられている。米404 Mediaによると、同社は7月3日に修正パッチを配信し、問題を解決したという。
この脆弱性により、本来は隠されるはずのメールアドレスが、特定の手順によって実際のメールアドレスと結び付けられる状態になっていた。404 Mediaは7月初めにこの問題を最初に報じ、アップルは少なくとも約1年前から脆弱性を認識していたにもかかわらず、「問題は解決済み」「対策を展開中」などと説明していたという。
アップルは2021年、プライバシー保護を強化する機能として「メールを非公開」を導入した。ランダムなメールアドレスを生成し、実際のメールアドレスを相手に知らせずに利用できる仕組みである。
404 Mediaの最新記事によると、今回の修正パッチが配信される前は、「メールを非公開」で生成されたアドレス宛てにスパムとして拒否されるメールを送信すると、実際のメールアドレスが判明する可能性があったという。
現在はその手法は利用できなくなった。しかし、EasyOptOuts共同創業者であり、この脆弱性を最初に404 Mediaへ知らせたTyler Murphy氏は、完全に安全になったとは考えていない。悪意のないメールでも配信不能となり、隠されたメールアドレスが明らかになる可能性があるほか、2026年7月7日以前に作成された「メールを非公開」のアドレスに関連付けられた実際のメールアドレスは、すでに漏えいし、現在も第三者が保管するメール転送ログに残っている可能性があるとしている。
近年のアップルのブランドイメージは、プライバシー保護への取り組みに大きく支えられている。
そのため、プライバシー保護を目的とした機能が実際には十分に機能していなかったことは、同社にとって大きな問題といえる。すでにアップルは、この「メールを非公開」の脆弱性を巡って集団訴訟を提起されており、原告側はアップルの「欺瞞的な行為」の差し止めに加え、この機能に対して利用者が支払ったサブスクリプション料金の全額返還を求めている。
