Appleが「メールを非公開」の脆弱性を修正、転送ログから本物のメールアドレスが露出する問題が判明

要点

• Appleは、有料サービス「iCloud+」の機能「メールを非公開」において、ユーザーの本物のメールアドレスが露出するセキュリティの脆弱性を修正した。
• 宛先へ送信されたメールがスパムとして拒否（バウンス）された際、メール転送ログにユーザーの実際のメールアドレスが記録される仕組みになっていた。
• 外部のセキュリティ専門家から2025年6月に最初に報告されていたが、Appleが完全に修正を完了するまでに1年以上の歳月を要した。
• Appleが脆弱性を認識しながらも機能を継続し、警告も行わなかったとして、顧客から集団訴訟が提起されている。

セキュリティ欠陥の修正が判明

Appleが提供するプライバシー保護機能「メールを非公開（Hide My Email）」において、ユーザーの本来のメールアドレスがメールサーバーの転送ログ内に露出してしまうセキュリティ上の脆弱性が修正されたことが明らかになった。米ニュースメディア「404 Media」の報道によると、Appleは2026年7月3日に対策を講じたという。この問題はセキュリティ専門家から1年以上前に報告されていたが、修正が完了するまで機能の提供が続けられていた。

「メールを非公開」機能の役割と問題の概要

「メールを非公開」は、Appleのクラウドサービス「iCloud+」の有料サブスクリプション（月額などで一定期間サービスを利用する契約）の加入者向けに、2021年6月に発表されたプライバシー保護機能である。

この機能は、ユーザーがウェブサイトへの登録時などに、一意でランダムな使い捨てのメールアドレスを自動生成できる仕組みである。このアドレス宛てに送信されたメールは、ユーザーの個人用メールボックスへ自動的に転送される。これにより、ユーザーは自分の本物のメールアドレスを明かすことなくメールを受信でき、スパム対策や個人情報の保護に役立てることができる。

しかし、今回の脆弱性は、特定の条件下でこの転送の過程において、ユーザーの本物のメールアドレスが露出して特定されてしまうというものだった。

脆弱性の詳細と影響範囲

この脆弱性は、不要な個人情報の削除を支援するサービス「EasyOptOuts」の共同創設者であるタイラー・マーフィー（Tyler Murphy）氏によって発見された。

問題の核心は、標的となる「メールを非公開」アドレス宛てに送信されたメールが、システムによってスパム（迷惑メール）として拒否（バウンス：受信側サーバーが受信を拒否し返送する現象）された際に発生する。この拒否が発生すると、受信者であるユーザーの本物のメールアドレスが、メール転送ログ（送受信経路を記録する管理用のシステムデータ）に露出してしまう仕様になっていた。

マーフィー氏と同サービスの共同創設者ベン・ワイナー（Ben Weiner）氏によると、この漏洩が実際に発生した頻度は不明だという。多くの主要なメールプロバイダでは、送信されたメールが正当な内容であっても、自動的にスパムと判定されて拒否されただけでこの漏洩が引き起こされた。

また、自動拒否されたメールは受信トレイに届かず、迷惑メールフォルダにも入らないため、ユーザーが自身の影響の有無を調べることは困難だった。

なお、バグはすでに修正されているが、2026年7月7日より前に作成された「メールを非公開」アドレスについては、それ以前に通常のメールがバウンスされた際、本物のメールアドレスがログに記録された可能性があるとしている。

報告から修正までの長期にわたる経緯

このセキュリティ欠陥が修正されるまでには、1年以上の歳月を要した。

マーフィー氏がAppleに脆弱性を最初に報告したのは2025年6月13日だった。Appleはその後、2026年3月と同年6月30日の2回にわたって修正を試みたが、いずれも不十分に終わっていた。

最終的にAppleがこの問題を完全に解消する修正を適用したのは、最初の報告から1年以上が経過した2026年7月3日のことである。これまでは悪用を防ぐために具体的な詳細の公表は控えられていたが、対策が完了したことを受けて詳細が明らかにされた。

虚偽の説明に対する集団訴訟への発展

この対応の遅れは、法的な問題にも発展している。Appleは、プライバシー機能として「メールを非公開」を提供し料金を回収していたにもかかわらず、そのプライバシーを十分に保証していなかったとして、集団訴訟（被害を受けた多数の人物を代表して特定の代表者が起こす訴訟手続き：Alvarez v. Apple Inc）を提起された。

訴状では、Appleが問題を認識しながら放置していた姿勢が批判されている。

「Appleは『メールを非公開』を、顧客が対価を支払うプライバシー機能として約束したが、実際には提供できていなかった。さらに、Appleは1年以上前からこの問題を完全に把握していながら、修正しなかった」

また、問題発覚後のApple of の対応についても、以下のように指摘されている。

「この間、Appleは『メールを非公開』機能を一時停止することもなく、顧客に脆弱性を警告することもせず、プライバシーに関する説明を修正することもなかった」