أطلقت شركة آبل خدمة Hide My Email في يونيو 2021 كميزة مدفوعة ضمن اشتراك iCloud+، تهدف إلى تعزيز الخصوصية عبر توليد عناوين بريد إلكتروني عشوائية تُعيد توجيه الرسائل إلى البريد الشخصي للمستخدم. الفكرة الأساسية هي حماية الهوية الرقمية والتقليل من الرسائل المزعجة عبر استخدام عناوين مؤقتة. لكن في يونيو 2025، اكتشف الباحث Tyler Murphy، المؤسس المشارك لشركة EasyOptOuts، ثغرة أمنية خطيرة سمحت بكشف العناوين الحقيقية للمستخدمين خلف هذه الخدمة. ورغم محاولات آبل لإصلاحها في مارس ويونيو 2026، لم يتم سد الفجوة بشكل كامل إلا في 3 يوليو 2026.
تفاصيل الاستغلال
جوهر المشكلة كان بسيطاً وخطيراً في آن واحد: إرسال رسالة إلى مستخدم Hide My Email يتم رفضها تلقائياً كرسالة مزعجة كان يؤدي إلى ظهور البريد الحقيقي للمستخدم في سجلات البريد. هذا يعني أن أي جهة يمكنها استغلال خاصية رفض الرسائل للوصول إلى العنوان الأصلي، حتى لو لم تصل الرسالة إلى صندوق البريد أو مجلد الرسائل المزعجة. الباحثون أوضحوا أن حجم التسريبات غير معروف بدقة، لكنهم أكدوا أن العديد من مزودي البريد الإلكتروني كانوا يسجلون هذه البيانات في سجلات النقل، ما يجعلها عرضة للاطلاع من قبل أطراف ثالثة.
التداعيات القانونية
رغم أن آبل أعلنت عن إصلاح الثغرة، إلا أن القضية لم تنتهِ عند هذا الحد. فقد واجهت الشركة دعوى جماعية تتهمها بتضليل العملاء بشأن مستوى الخصوصية الذي توفره الخدمة، بينما كانت تفرض رسوماً مقابلها. نص الدعوى أشار إلى أن آبل كانت على علم بالمشكلة لأكثر من عام ولم توقف الخدمة أو تحذر المستخدمين، ما اعتُبر إخلالاً بالوعود المتعلقة بالخصوصية. الشكوى تضمنت أن الشركة “وعدت العملاء بميزة خصوصية مدفوعة، لكنها فشلت في تحقيقها، والأسوأ أنها لم تتخذ أي إجراء لحماية المستخدمين أو تعديل تصريحاتها التسويقية.”
أبعاد أمنية أوسع
الثغرة تبرز تحدياً أساسياً في خدمات الخصوصية السحابية: حتى الميزات المصممة لحماية الهوية يمكن أن تنهار أمام ثغرات بسيطة في آليات النقل أو التسجيل. كما أن الاعتماد على سجلات البريد كجزء من البنية التحتية يجعل أي خطأ في التعامل معها خطراً مباشراً على المستخدمين. الحادثة تؤكد أن الخصوصية ليست مجرد ميزة تسويقية، بل مسؤولية تقنية وقانونية تتطلب استجابة سريعة وشفافة، خاصة عندما تكون الخدمة مدفوعة وتُسوّق كجزء من هوية الشركة في حماية بيانات المستخدمين.
