Apple a finalement corrigé une vulnérabilité affectant Masquer mon e-mail, la fonction d’iCloud+ qui permet de masquer son adresse e-mail personnelle lors d’une inscription sur un site ou d’un échange avec un tiers. Si le correctif est désormais déployé, le problème pourrait toutefois continuer d’avoir des conséquences, car certaines adresses réelles auraient déjà été enregistrées dans des journaux de serveurs conservés par des services tiers.
Une faille signalée il y a plus d'un an
La vulnérabilité avait été découverte par Tyler Murphy, cofondateur d’EasyOptOuts, qui l’avait signalée à Apple dès juin 2025. Selon son témoignage, Apple lui avait indiqué enquêter sur le problème avant d’affirmer, en mars 2026, que celui-ci avait été corrigé. Ce n’était pourtant pas le cas.
Après plusieurs mois d’échanges sans résultat concret, le chercheur a finalement décidé de rendre l’affaire publique en contactant 404 Media. Quelques jours après cette publication, Apple a finalement déployé un correctif le 3 juillet 2026.
Comment la faille fonctionne-t-elle ?
Pour rappel, Masquer mon e-mail génère une adresse e-mail aléatoire qui redirige les messages vers la véritable boîte de réception de l’utilisateur, sans jamais révéler son adresse personnelle. La faille exploitait un scénario particulier.
Lorsqu’un expéditeur envoyait un message à une adresse Masquer mon e-mail et que celui-ci était automatiquement rejeté comme spam par le serveur de messagerie, l’adresse e-mail réelle de l’utilisateur pouvait apparaître dans les journaux techniques générés lors de cet échange.
Le problème est qu’aucune action particulière n’était nécessaire. Un simple faux positif des filtres antispam pouvait suffire à provoquer cette fuite, sans que le destinataire ne reçoive le moindre message dans sa boîte de réception.
Des données qui peuvent encore circuler
Même si la vulnérabilité ne peut plus être exploitée aujourd’hui, les chercheurs estiment que le risque n’a pas totalement disparu. Les journaux de messagerie sont souvent conservés pendant plusieurs mois, voire plusieurs années, par les fournisseurs de services.
Selon EasyOptOuts, toute adresse Masquer mon email créée avant le 7 juillet 2026 pourrait donc avoir vu son adresse réelle enregistrée dans ces journaux, où elle pourrait rester accessible tant qu’ils ne sont pas supprimés.
Les chercheurs précisent également qu’il est impossible pour les utilisateurs de vérifier facilement s’ils ont été concernés, puisque les messages rejetés comme spam n’apparaissaient généralement jamais dans leur boîte de réception.
Apple visée par une action en justice
Cette affaire ne s’arrête pas au correctif logiciel. Apple fait désormais l’objet d’une action en justice aux États-Unis. Les plaignants demandent la certification d’un recours collectif, estimant que la société aurait présenté la fonction, comme un service protégeant totalement l’identité des utilisateurs alors qu’elle connaissait l’existence de cette vulnérabilité. La plainte l'accuse notamment d’avoir enfreint plusieurs lois californiennes relatives à la protection des consommateurs et à la publicité trompeuse.
Qu’en penser ?
Masquer mon e-mail reste une fonctionnalité particulièrement utile pour limiter le pistage et protéger son adresse e-mail principale. Cette faille montre toutefois qu’aucun système de confidentialité n’est totalement exempt de défauts. Si Apple a finalement corrigé le problème, le délai entre son signalement et son déploiement risque d’alimenter les critiques.
Les utilisateurs ayant créé des adresses Masquer mon e-mail avant juillet 2026 n’ont pas nécessairement été exposés, mais il est désormais impossible d’exclure que certaines adresses réelles aient été enregistrées dans des journaux techniques conservés par des services tiers.
Besoin d'aide pour choisir votre logiciel de sécurité ?
Personne n'est à l'abri des virus et du phishing. Protégez vos fichiers et vos données personnelles, utilisez un logiciel de sécurité! Consultez nos dossiers sur le sujet des antivirus pour le Mac. Ces articles sont constamment mis à jour et relayent les dernières promotions.
