Lorsque vous vous inscrivez à un nouveau service en ligne, partager votre adresse email signifie souvent vous exposer au spam, au profilage ou, dans le pire des cas, aux conséquences d’éventuelles violations de données. Pour limiter ces risques, Pomme met à la disposition des abonnés iCloud+ la fonction « Masquer mon email »conçu pour créer des adresses fictives uniques et aléatoires qui servent d’intermédiaires entre l’utilisateur et les sites Web ou applications.
UN vulnérabilité découvert par un chercheur en sécurité Tyler Murphyco-fondateur de Désinscriptions facilesune entreprise spécialisée dans la suppression des données personnelles des soi-disant « courtiers en données », qui a signalé à Apple que cela pourrait compromettre cette promesse : dans certaines circonstances, en effet, il serait possible retrouver la véritable adresse e-mail cachée derrière l’un de ces alias. Le problème aurait été signalé au géant de Cupertino depuis longtemps, mais la solution définitive n’est pas encore arrivée.
Comment fonctionne « Masquer mon e-mail »
La fonctionnalité « Masquer mon e-mail » fait partie des services inclus dans iCloud+ et est conçue pour éviter aux utilisateurs d’avoir à fournir leur adresse e-mail personnelle à chaque fois qu’ils s’inscrivent sur un site, effectuent un achat en ligne ou créent un nouveau compte. Un est automatiquement généré à la place de l’e-mail réel adresse aléatoire associée au domaine iCloudcomposé de mots et de caractères apparemment dénués de sens.
Les e-mails envoyés à cette adresse sont automatiquement transférés vers la boîte de réception de l’utilisateur, sans que l’expéditeur connaisse l’adresse d’origine. De cette façon, les sites Web et les applications n’interagissent qu’avec l’alias généré par Apple, tandis que la véritable adresse e-mail doit rester cachée.
À tout moment, vous pouvez également supprimer un alias ou arrêter de le transférer, vous empêchant ainsi de recevoir d’autres messages. Il s’agit d’un outil particulièrement utile pour réduire le nombre de communications indésirables et limiter la diffusion de vos données personnelles dans le cas où un service en ligne subirait un problème. Violation informatique. Ce n’est pas un événement rare : ces derniers mois, par exemple, on a parlé d’une prétendue violation de données qui aurait impliqué environ 89 millions de comptes Steam, une affaire qui a attiré l’attention sur l’importance de protéger ses données personnelles même lors de l’inscription à des services en ligne.
Comment la vulnérabilité a été découverte
La vulnérabilité permettrait connecter certaines adresses générées par « Masquer mon email » à l’adresse e-mail réelle correspondante de l’utilisateur.
Pour vérifier la criticité, un nouvel alias a été créé via le service Apple. En quelques minutes, Tyler Murphy a pu retrouver la véritable adresse e-mail associée, confirmant ainsi la validité de la technique. Lors de tests menés par EasyOptOuts avec un nombre limité de volontaires, toutes les adresses analysées se sont révélées vulnérables. Cependant, cela ne signifie pas que chaque compte Apple est certainement exposé ou que la méthode peut être appliquée à tous les utilisateurs sans distinction : l’ampleur réelle du problème reste encore à clarifier.
Cupertino est au courant du problème depuis plus d’un an
L’aspect le plus délicat du dossier concerne la gestion du rapport. La vulnérabilité était signalé à Apple en juin 2025ainsi que les instructions nécessaires pour reproduire le problème. Au cours des mois suivants, l’entreprise a confirmé qu’elle avait reçu le rapport et qu’elle travaillait sur un correctif.
En mars 2026, Apple aurait communiqué que le problème avait été corrigé, mais des contrôles ultérieurs effectués par le chercheur auraient montré que la faille était encore exploitable. En mai, la société aurait demandé à ne pas divulguer publiquement les détails pendant la poursuite de l’enquête, expliquant qu’elle travaillait toujours sur le dossier. Le groupe dirigé par Tim Cook confirmera plus tard que le correctif sera distribué dans une future mise à jour de sécuritésans toutefois indiquer de date précise pour la sortie. Au moment où l’histoire a été rendue publique, la vulnérabilité était toujours présente.
Les détails de la faille n’ont pas été rendus publics
Contrairement à de nombreuses vulnérabilités déjà corrigées, dans ce cas les détails techniques de la faille n’ont pas été divulgués. Il s’agit d’une pratique courante dans le secteur de la cybersécurité lorsqu’un problème est encore ouvert : rendre publiques toutes les informations pourrait faciliter toute tentative d’exploitation avant qu’un correctif ne soit disponible.
C’est pour cette raison que Tyler Murphy a partagé la méthode avec Apple, mais a évité de divulguer la description technique complète. Le but est réduire le risque d’exploitation de la vulnérabilité avant que les détails techniques puissent être utilisés pour des attaques.