La función Ocultar mi correo de iCloud+, una de las herramientas de privacidad más populares entre los suscriptores de Apple, ha estado comprometida durante meses sin que los usuarios lo supieran. Un fallo de seguridad permitÃa que terceros descubrieran la dirección de correo electrónico real asociada a la cuenta, anulando por completo el propósito de la función. La compañÃa ha confirmado que el problema ya está solucionado con un parche lanzado a principios de julio, pero el incidente ha dejado un reguero de preocupación y acciones legales.
El error, detectado por el investigador Tyler Murphy y el medio 404 Media, afectaba a todos los planes de iCloud+. La vulnerabilidad se activaba cuando un correo enviado a una dirección oculta era rechazado como spam por el servidor de Apple. En ese momento, los registros del sistema mostraban la dirección real del usuario en lugar de la anónima, exponiendo su identidad sin que el afectado pudiera percatarse, ya que esos mensajes ni siquiera llegaban a la bandeja de spam.
¿Cómo funcionaba el fallo de seguridad?
La función Ocultar mi correo permite generar direcciones aleatorias que reenvÃan los mensajes al correo principal. El fallo residÃa en el proceso de rechazo automático de correos no deseados. Cuando un mensaje era marcado como spam y no se entregaba, los logs del servidor de correo registraban la dirección real del destinatario. Esto significaba que cualquier remitente o administrador del sistema podÃa acceder a esa información, rompiendo el anonimato prometido.
Además, los usuarios no tenÃan forma de saber si su dirección real habÃa quedado expuesta, ya que los correos rechazados no aparecÃan en ninguna carpeta. La única manera de comprobarlo era a través de los registros del servidor, a los que los suscriptores no tienen acceso. Esto generó una situación de incertidumbre que duró más de un año.
El largo camino hacia la solución
El investigador Tyler Murphy reportó el fallo a Apple en junio de 2025. La compañÃa afirmó haberlo solucionado en marzo de 2026, pero pruebas independientes demostraron que el problema persistÃa. No fue hasta el 3 de julio de 2026 cuando Apple lanzó un parche definitivo que, según la empresa, corrige la vulnerabilidad por completo. La publicación del caso por parte de 404 Media aceleró la respuesta, aunque para entonces el daño ya estaba hecho.
La demora en la solución ha provocado una fuerte reacción legal. Se ha presentado una demanda colectiva en California contra Apple por publicidad engañosa y violación de las leyes de protección al consumidor. Los demandantes alegan que la compañÃa siguió promocionando Ocultar mi correo como una herramienta segura mientras sabÃa que el fallo existÃa, y que no informó a los suscriptores del riesgo.
Riesgos persistentes y consejos para usuarios
Aunque el parche ya está activo, los expertos advierten que el peligro no ha desaparecido del todo. Los registros de los servidores de correo externos pueden haber almacenado las direcciones reales asociadas a alias creados antes del 3 de julio. Dado que estos logs se conservan durante largos periodos, es posible que la información siga siendo accesible para terceros. Por eso, los investigadores recomiendan generar nuevos alias de Ocultar mi correo para todas las cuentas que se hayan utilizado antes de esa fecha.
Apple, por su parte, asegura que el parche resuelve el problema y que no hay evidencia de que la vulnerabilidad se haya explotado de forma masiva. La compañÃa insta a los usuarios a mantener sus dispositivos actualizados para beneficiarse de las últimas mejoras de seguridad. Sin embargo, el caso ha puesto en entredicho la fiabilidad de una de las funciones estrella de iCloud+ y ha recordado a los suscriptores la importancia de estar atentos a cualquier actualización.
La vulnerabilidad de Ocultar mi correo ha sido un jarro de agua frÃa para muchos usuarios que confiaban ciegamente en la privacidad que prometÃa Apple. Aunque el fallo ya está corregido, la filtración potencial de direcciones reales durante más de un año y la demanda colectiva en curso dejan claro que ni siquiera los servicios más populares están exentos de riesgos. Lo mejor que pueden hacer los suscriptores es cambiar sus alias y mantenerse al dÃa con las actualizaciones para evitar sustos mayores.
