Una falla de privacidad pone en duda una de las mayores promesas de Apple

Tyler Murphy, confundador de EasyOptOuts , un servicio de eliminación de datos en línea, reportó e investigó qué Hide My Email, una de las herramientas de privacidad, tenía errores en cuanto a privacidad. A través del medio Techcrunch, Murphy dijo que “se le reportó a Apple el problema hace un año y no se tenía claro por qué la empresa no lo había podido resolver”.

También mencionó en el medio 404 media que los sitios públicos de búsqueda de personas facilitan vincular una dirección de correo con otros datos personales, “por lo que las personas que dependen de Hide My Email para proteger su seguridad, podrían estar en riesgo”, dijo.

La línea de tiempo que realizaron los cofundadores del servicio de eliminación de datos en línea expone que en 2025 reportaron a Apple el problema y la empresa respondió que Hide My Email no está hecho para que se descubran los correos. En ese mismo año subieron un reporte con los detalles y hasta un mes después Apple respondió que ya estaban revisando las vulnerabilidades pero la organización nunca reconoció que fuera un tema de riesgo.

Victor Ruíz, fundador de la startup mexicana enfocada en ciberseguridad Silikn, dijo a Expansión que “esto no implica que otros datos personales o la cuenta de Apple hayan sido comprometidos, pero sí de la privacidad del correo electrónico, el principal riesgo es la pérdida del anonimato digital”.

Cómo funciona Hide My Email

Hide My Email es la herramienta de Apple que crea un correo electrónico falso para proteger la privacidad de tu correo personal y que Apple no lo conozca con la finalidad de evitar correos de spam, rastreo o la venta de datos y es una función incluida en el servicio de suscripción a iCloud+.

Ruíz afirmó que “si un tercero logra conocer la dirección de correo real de un usuario, puede incrementar las campañas de spam y ataques de ingeniería social dirigidos, especialmente si ese correo está asociado con redes sociales, cuentas bancarias o servicios de trabajo”.

Investigadores en EasyOptOuts descubrieron que puede haber atacantes que descubran el correo original del usuario detrás de las direcciones de Hide My Email.

“Aún no conocemos el alcance total de la vulnerabilidad pero en las pruebas que realizamos con un grupo limitado de voluntarios, todas las direcciones de ‘Hide My Email’ pudieron ser explotadas”, afirmó Murphy. Los especialistas decidieron no revelar cómo funciona el fallo para evitar que actores maliciosos lo aprovechen antes de que Apple publique una solución.

Debido a que Apple ha construido gran parte de su estrategia alrededor de la privacidad, Victor Ruíz mencionó que “desde el punto de la confianza, el impacto para la empresa puede ser importante, ya que ‘Hide My Email’ es una función que Apple promociona precisamente como una herramienta de protección de la privacidad”.

También hizo énfasis en que “cuando una vulnerabilidad que afecta esa promesa permanece abierta por periodos prolongados, los usuarios pueden cuestionar no solo la seguridad de esa función sino la rapidez con que la empresa responde”.

Las medidas que recomiendan los especialistas

Aunque Apple informó el 30 de junio de 2026 que el problema ya estaba resuelto y pidió a los investigadores verificar la solución, estos aseguraron que, tras repetir las pruebas, la vulnerabilidad seguía presente. Mientras la compañía publica una actualización definitiva, especialistas recomiendan reforzar otras medidas de seguridad.

El experto de Silikn recomendó que mientras Apple publica una actualización que corrija el problema, “lo más recomendable es no solo depender de ‘Hide My Email’ como única medida de privacidad”. Asimismo, indicó que es una buena solución mantener activada la función de autenticación de dos factores en la cuenta de Apple, utilizar contraseñas únicas para cada servicio, revisar de forma periódica los alias creados y desactivar aquellos que ya no utilicen.

“También es recomendable evitar usar el mismo correo principal para servicios especialmente sensibles cuando existan alternativas, permanecer atentos a intentos de phishing dirigidos y desconfiar de mensajes que soliciten credenciales o información personal”, concluyó.