Được nhà nghiên cứu bảo mật Tyler Murphy phát hiện và công bố trên 404Media ngày 1/7, lỗi khiến nền tảng và website bên thứ ba có thể thu được email thật của người dùng, kể cả khi họ đăng nhập qua Hide My Email (Ẩn email của tôi) - tính năng cho phép tạo email dùng một lần để bảo vệ quyền riêng tư.

Murphy cho biết đã gửi cảnh báo tới Apple từ một năm trước, nhưng công ty vẫn chưa khắc phục. Do đó, ông hợp tác với 404Media thử nghiệm sâu hơn, kết quả cho thấy "tất cả nỗ lực khai thác lỗi đều thành công".

"Chúng tôi chưa biết rõ phạm vi đầy đủ của vấn đề. Nhưng trong các thử nghiệm thực tế, 100% địa chỉ email của Hide My Email đều có thể bị khai thác", Murphy nói, nhưng từ chối mô tả chi tiết lỗ hổng vì lo ngại sẽ bị lợi dụng.

Murphy là nhà đồng sáng lập EasyOptOuts, dịch vụ xóa dữ liệu trả phí có trụ sở tại Mỹ. Theo ông, cơ chế của Hide My Email không đảm bảo an toàn, người dùng không nên tin tưởng hoàn toàn tính năng này.

Apple chưa đưa ra bình luận.

Hide My Email ra mắt tháng 9/2021 cùng với bản cập nhật iOS 15 và iPadOS 15. Trên website hỗ trợ, Apple cho biết tính năng cho phép tạo địa chỉ email ảo ngẫu nhiên khi đăng ký tài khoản với nền tảng bên thứ ba bằng chức năng đăng nhập nhanh. Email ảo này sẽ chuyển tiếp thư đến hộp thư chính của người dùng, giúp giữ bí mật địa chỉ email thật và chặn thư rác.

Theo TechCrunch, Apple vốn nổi tiếng với các sản phẩm phần cứng, phần mềm và dịch vụ chỉn chu, nhưng không phải tính năng nào cũng hoạt động như quảng cáo. Chẳng hạn, năm 2022, Apple bị kiện vì iPhone Analytics được quảng bá sẽ ngừng lấy thông tin từ App Store, Apple Music, Apple TV, Books và Stocks khi kích hoạt, nhưng thực tế vẫn âm thầm thu thập dữ liệu trái phép.

Tương tự, Apple mô tả tính năng Private Wi-Fi Addresses tạo địa chỉ MAC ngẫu nhiên để giấu địa chỉ MAC thật của thiết bị, qua đó hạn chế khả năng theo dõi khi kết nối wifi. Tuy nhiên năm 2023, các nhà nghiên cứu phát hiện trong một số trường hợp khi được kích hoạt, nó vẫn để lộ địa chỉ MAC thật.

Theo Gizmodo, trong hầu hết những lần xảy ra sự cố, Apple thường âm thầm khắc phục vấn đề qua các bản cập nhật thay vì lên tiếng.

Bảo Lâm tổng hợp

Discovered by security researcher Tyler Murphy and published on 404Media on July 1, the bug allows third-party platforms and websites to obtain users' real emails, even when they log in via Hide My Email - a feature that allows creating disposable emails to protect privacy.

Murphy said he sent a warning to Apple a year ago, but the company has not yet fixed it. Therefore, he cooperated with 404Media to test further, the results showed that "all attempts to exploit the error were successful".

"We don't yet know the full scope of the problem. But in real-world tests, 100% of Hide My Email email addresses can be exploited," Murphy said, but declined to describe the vulnerability in detail because of concerns about being exploited.

Murphy is the co-founder of EasyOptOuts, a paid data deletion service based in the US. According to him, Hide My Email's mechanism does not ensure safety, users should not completely trust this feature.

Apple has not yet commented.

Hide My Email was launched in September 2021 with the iOS 15 and iPadOS 15 updates. On the support website, Apple said the feature allows creating a random virtual email address when registering an account with a third-party platform using the quick login function. This virtual email will forward messages to the user's main mailbox, helping to keep the real email address secret and block spam.

According to TechCrunch, Apple is famous for its neat hardware, software and services products, but not all features work as advertised. For example, in 2022, Apple was sued because iPhone Analytics was advertised to stop pulling information from the App Store, Apple Music, Apple TV, Books and Stocks when activated, but in reality it still silently collected unauthorized data.

Similarly, Apple describes the Private Wi-Fi Addresses feature that creates random MAC addresses to hide the device's real MAC address, thereby limiting the ability to track when connected to wifi. However, in 2023, researchers discovered that in some cases, when activated, it still revealed the real MAC address.

According to Gizmodo, in most incidents, Apple often silently fixes the problem through updates instead of speaking out.

Bao Lam compiled