Der Kern des Problems lag laut den inzwischen veröffentlichten Details darin, dass eine Nachricht an einen gezielt ausgewählten Hide-My-Email-Nutzer ausreichte, wenn diese Nachricht als Spam zurückgewiesen wurde. In diesem Fall erschien die echte E-Mail-Adresse der betroffenen Person in E-Mail-Logs. Zunächst waren technische Einzelheiten zurückgehalten worden, um eine mögliche Ausnutzung zu vermeiden. Nachdem die Lücke nun geschlossen ist, wurden weitere Informationen bekannt.
Murphy meldete den Fehler Apple dem Bericht zufolge erstmals am 13. Juni 2025. Apple versuchte demnach zunächst erfolglos, die Schwachstelle früher in diesem März und erneut am 30. Juni 2026 zu beheben. Erst der am 3. Juli 2026 ausgerollte Fix beseitigte das Problem. Über den Fall hatte 404 Media am Dienstag berichtet.
Hide My Email soll Nutzern ermöglichen, Wegwerf-Adressen zu verwenden, die eingehende Nachrichten automatisch an die persönliche Adresse weiterleiten. Ziel ist es, die Privatsphäre zu schützen und unerwünschte Spam-Nachrichten zu begrenzen. Genau diese Zusage wurde durch den Fehler ausgehöhlt, weil die verborgene Adresse unter bestimmten Bedingungen doch sichtbar wurde.
Wie Tyler Murphy und EasyOptOuts-Mitgründer Ben Weiner 404 Media sagten, sei nicht bekannt, wie oft versteckte E-Mail-Adressen in Mail-Logs offengelegt wurden. Nach ihrer Darstellung wurde das Leck bei vielen großen E-Mail-Anbietern bereits dadurch ausgelöst, dass eine E-Mail automatisch als Spam abgewiesen wurde, selbst wenn es sich um eine legitime Nachricht handelte. Solche Nachrichten hätten es wahrscheinlich gar nicht erst in den Posteingang geschafft, sodass Betroffene auch ihren Spam-Ordner nicht daraufhin prüfen konnten, ob sie betroffen waren.
Auch nach der Fehlerbehebung bleibt laut Bericht ein Restrisiko für die Vergangenheit: Echte E-Mail-Adressen, die mit einer vor dem 7. Juli 2026 erstellten Hide-My-Email-Adresse verknüpft waren, könnten in Mail-Transfer-Logs erfasst worden sein, wenn nicht bösartige E-Mails zurückgewiesen wurden.
Die Veröffentlichung fällt zudem in eine Phase, in der Apple mit einer Sammelklage konfrontiert ist. Darin wird dem Unternehmen vorgeworfen, Kunden über den Datenschutz von Hide My Email in die Irre geführt und für die Funktion Geld verlangt zu haben. In der Klageschrift heißt es, Apple habe Hide My Email als Datenschutzfunktion versprochen, für die Kunden direkt über iCloud+ oder indirekt über Apples produktweite Datenschutzaussagen bezahlt hätten, diese Zusage aber nicht eingelöst. Weiter heißt es, Apple habe das Problem seit mehr als einem Jahr gekannt und nicht behoben. Zudem habe Apple den Dienst in dieser Zeit weder deaktiviert noch pausiert, seine Kunden nicht vor dem Fehler gewarnt und seine Datenschutzzusagen nicht korrigiert.