Apple corrige la faille de masquer mon adresse e-mail

À retenir :
– correction d’une faille de sécurité critique
– révélation possible de l’adresse e-mail réelle des utilisateurs
– signalement initial effectué en juin 2025
– risque persistant pour les anciens alias créés avant juillet 2026
– action collective déposée contre apple pour indemnisation

---

Apple a récemment annoncé avoir résolu une faille de sécurité affectant sa fonction « Masquer mon adresse e-mail », qui permettait de dévoiler les adresses électroniques réelles des utilisateurs derrière leurs alias anonymes. Ce correctif, mis en place le 3 juillet, arrive plus d’un an après que ce problème ait été signalé pour la première fois par le chercheur en sécurité Tyler Murphy.

Au début du mois, Tyler Murphy a révélé avoir expérimenté cette vulnérabilité et réussi à découvrir l’adresse réelle des utilisateurs à chaque essai. Chaque tentative aboutissait invariablement à la divulgation de l’adresse masquée par l’alias « Masquer mon adresse e-mail ». Murphy avait informé Apple dès juin 2025, mais il a fallu attendre plus d’un an pour qu’une solution efficace soit déployée. Durant cette période, plusieurs tentatives de correction avaient été entreprises entre le premier signalement et la résolution finale du 3 juillet 2026, sans succès complet.

La fonction « Masquer mon adresse e-mail », intégrée dans iCloud+, crée des adresses anonymes composées de deux mots aléatoires suivis d’un numéro et du domaine @icloud.com. En théorie, elle est censée rediriger les courriels vers la boîte mail réelle de l’utilisateur sans jamais révéler celle-ci. Cependant, certains attaquants exploitaient un mécanisme lié aux messages considérés comme spam : lorsqu’un message était rejeté automatiquement comme tel, cela déclenchait une réponse qui pouvait exposer l’adresse réelle.

Bien qu’Apple affirme avoir complètement corrigé le problème, certains éléments indiquent que le risque n’est pas entièrement écarté pour les utilisateurs ayant créé leurs alias avant cette mise à jour. En effet, les adresses générées antérieurement au 7 juillet 2026 pourraient rester vulnérables. De plus, les journaux de transfert de messages conservés par des serveurs tiers continuent d’enregistrer les adresses réelles associées aux anciens alias. Les chercheurs Tyler Murphy et Weiner soulignent également que ce risque lié aux journaux tiers n’a pas été éliminé malgré le correctif apporté par Apple.

À la suite de cette découverte préoccupante concernant la sécurité des données personnelles des utilisateurs, une action collective a été déposée contre Apple. Cette plainte demande notamment le remboursement des abonnements iCloud+ pour ceux touchés par cette faille ainsi qu’une injonction afin d’obliger Apple à renforcer durablement la protection offerte par sa fonction « Masquer mon adresse e-mail