首先，我们来解析一下“隐藏我的邮件”功能的核心机制：这项服务于iCloud+付费用户，旨在为互联网浏览提供一层隐私保护。用户可以生成一个随机邮箱地址（后缀为@icloud.com或@privaterelay.appleid.com），所有发往该地址的邮件会自动转发到用户的真实收件箱。这样，在各类网站注册时使用此匿名邮箱，既能正常接收通知，又能有效避免数据追踪和垃圾邮件。听起来很理想，对吧？

那么，这个看似完美的方案存在什么隐患呢？

据404 Media于7月1日报道，安全研究人员发现该匿名机制存在严重缺陷——攻击者能够绕过保护，将随机生成的转发地址反向关联到用户的真实Apple ID邮箱，导致隐私暴露。

该漏洞由数据清除服务公司EasyOptOuts联合创始人Tyler Murphy发现。为验证其严重性，404 Media特意生成一个全新的隐藏邮件地址供其测试。结果令人震惊：仅用约五分钟，Murphy便成功从该地址中提取出对应的真实Apple ID邮箱。

Murphy指出，尽管测试样本有限，但所有测试的隐藏邮箱均被成功破解，成功率高达100%。值得注意的是，具体的漏洞利用方法尚未公开，因此无法确认是否有其他组织或个人已开始利用此漏洞收集用户信息。

如果说技术漏洞尚属意料之中，那么Apple的修复进度则更加令人失望。

EasyOptOuts最早于2025年6月向Apple安全团队提交了完整的漏洞复现步骤。2026年3月，Apple支持人员回复称已进行后台修改，问题应已解决。然而独立验证结果显示漏洞依然存在。同年5月，Apple工程团队才出面要求研究人员暂停公开，并承诺“未来几周内”发布安全补丁。但随后却陷入了更长的沉默与拖延。

最终，研究团队无法再等待。他们坚信用户有权知晓自己的数据面临暴露风险，因此决定公开披露这一漏洞。

公开的人员搜索目录能够轻易将邮箱凭证与住址、电话等个人信息关联。这意味着，对于依赖“隐藏我的邮件”保护隐私的记者、活动人士及其他高风险用户而言，身份暴露的风险当前已变得直接且紧迫。

其实这并非Apple首次在隐私承诺与实际表现之间出现差距。近年来，其诊断分析跟踪功能被发现在用户明确关闭后仍持续运行，引发法律纠纷。更早前，有分析指出Apple用于隐藏设备物理位置的本地Wi-Fi MAC地址随机化工具同样失效，仍然泄露真实标识符。