苹果隐藏邮箱功能被曝漏洞，研究者称测试样本100%可还原真实地址

苹果的隐藏邮箱功能（Hide My Email）被曝存在漏洞，攻击者可以借此还原出用户真实的电子邮件地址。安全研究员 Tyler Murphy 一年前就已把问题报告给苹果，截至目前问题仍未修复。这暴露出一个更现实的问题：苹果最爱写进发布会的隐私功能，可能连自己都没认真审计过。

漏洞是什么，谁发现的

404 Media 独立测试并确认了这个漏洞的存在。发现者 Tyler Murphy 是数据删除服务公司 EasyOptOuts 的联合创始人，他说在有限的志愿者测试中，被测试的隐藏邮箱地址全部被成功还原，比例是100%。

漏洞细节没有公开，Murphy 给出的理由是担心被恶意利用。这也意味着外界目前没法独立复现具体攻击手法，只能依赖研究者和404 Media的说法，苹果也尚未回应置评请求。

苹果隐私功能，这不是第一次翻车

苹果一直把隐私当核心卖点写进营销和发布会。但过去几年，类似的翻车不止一次。

这三件事有个共同点：都不是外部攻击造成的数据泄露，而是苹果自己设计的隐私功能没达到承诺的效果。比起被动的数据泄露事故，这种“功能性失效”更伤品牌——用户是主动信任并使用了这个功能，才把自己暴露在风险里。

谁会真正受影响

Hide My Email 是 iCloud+ 订阅里的功能，2021年随 iOS 15 上线，用途是注册网站、订阅服务时不暴露真实邮箱。对普通用户来说，最坏的后果可能就是多收几封垃圾邮件。

但对依赖匿名性保护自身安全的人——家暴受害者、记者、举报人——这个漏洞的意义完全不同。真实邮箱一旦被还原，配合 Murphy 提到的人肉搜索网站，很容易进一步关联出姓名、住址等信息。这类人本该是隐私工具最该守护的对象，现在反而成了风险最高的一群。

有一点也该说清楚：Murphy 的公司 EasyOptOuts 本身靠帮用户从数据经纪商网站删信息赚钱，他有商业动机去强调信息泄露的危害。但这不代表漏洞不存在——404 Media 做了独立验证，这一点比研究者单方面的说法更值得信任。

跟 Firefox Relay、DuckDuckGo Email Protection 这类同类邮箱转发服务比，苹果的优势本是系统级集成加品牌信任，但这次事件说明，集成度高不等于审计到位。