‘Verberg mijn e-mailadres’ van Apple lekt toch je echte mailadres
Apple heeft een handige privacyfunctie ‘Verberg mijn e-mailadres’. Die functie houdt je echte adres verborgen als je aanmeldt bij diensten, apps en website. Die krijgen een willekeurig e-mailadres te zien, maar dat adres stuurt mails dan door naar je gewone inbox. Door een ernstige kwetsbaarheid zou het volgens beveiligingsonderzoeker Tyler Murphy mogelijk zijn om de echte e-mailadressen van gebruikers te achterhalen (via TechCrunch). Hij rapporteerde de bug al meer dan een jaar geleden aan Apple, maar het bedrijf kon nog niet met een definitieve oplossing komen.
‘Verberg mijn e-mailadres’ is op zich wel een handige functie. Websites en andere diensten die de optie voor ‘Log in met Apple’ aanbieden, laten toe dat je met een willekeurig, alternatief e-mailadres inlogt dat op zijn beurt de eventuele mails van die website naar je normale inbox doorstuurt. Bieden websites ‘Log in met Apple’ niet aan, dan kan je ook een adres laten genereren en gebruiken, maar dan heb je wel iCloud+ nodig.
Kwetsbaarheid nog actief
Je zou denken dat met die functie je privacy gegarandeerd is, maar dat blijkt toch niet het geval. Onderzoeker Tyler Murphy, medeoprichter van privacybedrijf EasyOptOuts, ontdekte namelijk een kwetsbaarheid. Die laat toe de echte identiteit achter zulke alias-adressen te achterhalen. Volgens Murphy slaagden alle uitgevoerde tests erin om verborgen adressen te koppelen aan de werkelijke e-mailadressen van gebruikers.
Technologiesite 404 Media meldde als eerste de bevindingen en heeft de kwetsbaarheid zelf geverifieerd. Om misbruik te voorkomen, zijn de technische details niet openbaar gemaakt. De kwetsbaarheid was volgens de publicatie echter nog steeds actief.
Murphy waarschuwde Apple naar eigen zeggen al in juni 2025 en leverde daarbij ook instructies aan om het probleem te reproduceren. Apple bevestigde de ontvangst van de melding en gaf later meerdere keren aan de kwestie te onderzoeken. In maart 2026 stelde het bedrijf zelfs dat een systeemwijziging het probleem had opgelost, maar volgens Murphy bleek de kwetsbaarheid daarna nog steeds aanwezig.
Risico voor gevoelige gebruikers
Zeker journaliste of politieke activisten zijn afhankelijk van anonimiteit op het internet. Die lopen meer risico dan ze denken, aangezien kwaadwillige mensen hun echte mailadres toch kunnen achterhalen. Via allerlei databanken en zoekmachines kunnen die een e-mailadres koppelen aan namen, fysieke adressen en andere persoonlijke informatie.
Het is bovendien niet de eerste keer dat privacyinstellingen van Apple niet werken zoals verwacht. Dat is pijnlijk voor een merk dat privacy als een van de essentiële elementen van zijn iPhone noemt.
