Faille de sécurité dans masquer mon adresse e-mail d’apple

À retenir :
– Une faille révèle les vraies adresses e-mail des utilisateurs iCloud+.
– Signalée à Apple en juin 2025, elle reste exploitable plus d’un an après.
– Tyler Murphy a transmis la méthode d’exploitation de la faille à Apple.
– Apple modifie le service sans corriger la vulnérabilité initiale.
– Le changement rend les adresses plus identifiables, compromettant la sécurité.

---

Une vulnérabilité dans la fonction Masquer mon adresse e-mail d’Apple expose les utilisateurs à des risques de sécurité en révélant leur véritable adresse électronique. Cet outil, qui vise à anonymiser les abonnés iCloud+, permettrait en effet de retrouver l’adresse e-mail réelle d’un utilisateur en seulement cinq minutes. Signalée à Apple en juin 2025, cette faille reste toujours exploitée plus d’un an après.

Tyler Murphy, cofondateur d’EasyOptOuts, a informé Apple de cette vulnérabilité ainsi que de la méthode pour l’exploiter il y a plus d’un an. Lors de tests effectués par ses soins, toutes les adresses générées se sont avérées accessibles. Selon lui, il est possible pour presque n’importe qui de découvrir l’adresse réelle derrière un alias Masquer mon adresse e-mail créé via iCloud+. Il résume le problème pour le site 404 Media : « Masquer mon adresse e-mail d’Apple divulgue des adresses e-mail qui sont censées être cachées. Nous avons signalé le problème et les instructions pour le reproduire à Apple il y a plus d’un an. Nous ne savons pas pourquoi cela n’a pas été corrigé, mais nous ne nous sentons plus à l’aise à l’idée d’attendre davantage. Les utilisateurs méritent de savoir qu’il peut être possible pour des attaquants de découvrir leurs adresses masquées ».

Initialement, Apple avait répondu en juillet 2025 qu’une enquête était en cours sur ce dossier. En mars 2026, la société affirmait avoir modifié son système ; cependant, Tyler Murphy conteste cette affirmation après avoir effectué une nouvelle série de vérifications ce même mois. Un mois plus tard, Apple a finalement confirmé au chercheur que son enquête se poursuivait et lui a demandé dans un message : « Nous enquêtons toujours sur ce problème…Nous vous remercions de votre aide pour maintenir et améliorer la sécurité de nos produits ». Cela montre qu’Apple considère toujours le dossier comme non résolu.

En juin 2026, Apple a annoncé une mise à jour concernant la fonction Masquer mon adresse e-mail : les alias passeraient désormais des adresses @icloud.com aux @private.icloud.com. Ce changement pourrait rendre ces adresses générées plus facilement identifiables par certains sites web et donc aisément bloquées lors des inscriptions. Par conséquent, cet ajustement risque également d’altérer l’intérêt pratique que revêtait initialement cet outil pour ceux qui cherchaient à préserver leur identité numérique.

Tyler Murphy met également en garde contre une menace accrue liée aux informations personnelles : « Des sites gratuits et accessibles au public permettant des recherches sur les personnes rendent facile l’association entre une adresse e-mail et d’autres informations personnelles ; ainsi ceux qui comptent sur Masquer mon adresse e-mail pour leur sécurité peuvent se retrouver en danger ». Cette situation est particulièrement délicate pour Apple puisque la confidentialité constitue un argument clé dans la promotion tant du service iCloud+ que de son écosystème global.