安全研究人员披露，苹果iCloud+的隐私保护功能“隐藏邮件地址”存在一个安全漏洞，攻击者可借此绕过保护机制，获取用户的真实邮箱地址。该漏洞已存在超过一年，苹果至今尚未修复。
该功能本应让用户生成随机匿名邮箱地址（如xxxxx@icloud.com）来替代真实邮箱注册服务，所有转发邮件均不暴露真实地址。然而据404 Media报道，研究人员Tyler Murphy及其团队发现并验证了这一漏洞：在测试中，他们用一个新生成的隐藏邮箱地址进行测试，约五分钟后便成功反查出与之关联的真实iCloud邮箱地址。
Murphy于2025年6月首次向苹果报告该问题，苹果随后表示正在调查。今年3月，苹果称已“在近期系统变更中解决”，但Murphy发现漏洞依然存在，并于5月再次通报。苹果回应称仍在调查，计划在未来安全更新中修复，但至今未提供具体时间表。Murphy表示：“我们不知道为什么它还没被修复，但我们不能再等下去了。使用这项功能的用户有权知晓，攻击者可能发现他们的隐藏邮箱地址。”
该漏洞风险在于，公开的“人肉搜索”网站很容易将邮箱地址与其他个人信息关联，依赖“隐藏邮件地址”保护隐私的用户可能因此面临风险。与此同时，苹果此前已宣布计划将该功能的匿名邮箱域名从@icloud.com迁移至@private.icloud.com，这将使网站和服务更容易识别并屏蔽“隐藏邮件地址”生成的匿名邮箱，进一步削弱其隐私保护效果。
责任编辑：张俊 SF065
