Una vulnerabilidad en la función “Ocultar mi correo” de Apple permitiría descubrir la dirección de correo electrónico real que el servicio pretende mantener privada. El problema, denunciado hace más de un año por un investigador de seguridad, continuaría sin corregirse, según una investigación publicada por 404 Media.
El medio asegura haber comprobado que el fallo seguía siendo explotable a finales de junio de 2026 utilizando una de sus propias direcciones ocultas. Debido a que la vulnerabilidad permanecería activa, no ha publicado los detalles técnicos necesarios para reproducirla.
El caso resulta especialmente relevante porque afecta a una función diseñada precisamente para proteger la identidad digital de los usuarios y reducir el seguimiento, el spam y la exposición de direcciones personales.
Cómo funciona “Ocultar mi correo”
“Ocultar mi correo” permite generar direcciones aleatorias que los usuarios pueden utilizar al registrarse en páginas web, aplicaciones o servicios en línea.
Los mensajes enviados a estas direcciones se reenvían automáticamente al correo personal asociado a la cuenta de Apple. De esta forma, la plataforma con la que se interactúa no necesita conocer la dirección real del usuario.
La función está integrada en iCloud+ y también puede utilizarse junto con “Iniciar sesión con Apple”. Su principal objetivo es limitar la cantidad de servicios que almacenan directamente el correo personal y ofrecer al usuario la posibilidad de desactivar una dirección intermediaria cuando comienza a recibir mensajes no deseados.
En teoría, una empresa solo debería conocer el alias generado por Apple. Sin embargo, la vulnerabilidad descrita permitiría vincular ese identificador temporal con la cuenta de correo original.
Un fallo que afecta al modelo de privacidad
Aunque una dirección de correo no es una contraseña, puede convertirse en un dato especialmente valioso para ciberdelincuentes, empresas de publicidad y operadores de campañas de phishing.
Conocer el correo real permite correlacionar cuentas utilizadas en diferentes servicios, buscar información en filtraciones anteriores y preparar ataques más personalizados. También puede facilitar la identificación de una persona que utiliza un alias para mantener separadas su actividad profesional, personal o anónima.
El riesgo no se limita a recibir más spam. Una dirección expuesta puede utilizarse como punto de partida para campañas de ingeniería social, intentos de recuperación de cuentas o ataques de relleno de credenciales.
Los delincuentes pueden comprobar si el correo aparece en bases de datos filtradas y combinarlo con contraseñas antiguas, números de teléfono, nombres de usuario u otros datos personales.
La gravedad práctica dependerá de la facilidad con la que pueda explotarse la vulnerabilidad y de la información adicional necesaria para identificar a un usuario concreto. Estos detalles no se han hecho públicos para evitar que el fallo sea utilizado de forma masiva.
Más de un año sin una solución
La persona que comunicó el problema considera que los usuarios de “Ocultar mi correo” deberían saber que sus direcciones reales podrían llegar a descubrirse.
Según la información disponible, Apple habría recibido el aviso hace más de un año, pero el fallo todavía no habría sido solucionado. La compañía tampoco habría ofrecido públicamente información sobre el alcance del problema, las versiones afectadas o una posible fecha para publicar una corrección.
Los largos plazos de respuesta ante vulnerabilidades relacionadas con la privacidad generan una dificultad adicional. El proveedor puede evitar divulgar detalles mientras investiga el fallo, pero los usuarios siguen utilizando el servicio sin conocer con precisión el riesgo.
Al mismo tiempo, una publicación técnica completa antes de que exista un parche podría facilitar su explotación. Por este motivo, los investigadores suelen recurrir a una divulgación limitada hasta que el fabricante corrige el problema.
Por qué un alias no garantiza el anonimato
Las herramientas de correo enmascarado ayudan a reducir la exposición, pero no deben confundirse con sistemas de anonimato completo.
Incluso cuando una plataforma no conoce la dirección real, puede recopilar otros identificadores, como la dirección IP, características del navegador, patrones de uso, datos de pago o información proporcionada durante el registro.
Si además existe una vulnerabilidad que permite relacionar el alias con el correo original, la protección queda todavía más debilitada.
