Hide My Email là gì và vì sao lỗ hổng lần này đáng lo?
Hide My Email là tính năng trong gói iCloud+ cho phép người dùng tạo các địa chỉ email ẩn tạm thời dạng iCloud.com để che giấu email thật khi đăng ký dịch vụ, giúp tăng bảo mật iCloud+ và giảm nguy cơ bị theo dõi, spam hay tấn công lừa đảo.
Vấn đề là lỗ hổng Hide My Email lỗ hổng lại đi ngược mục tiêu này: nó khiến email thật bị lộ phía sau các địa chỉ ẩn, làm suy yếu nghiêm trọng lớp bảo vệ quyền riêng tư mà Apple quảng bá. Thay vì là “lá chắn” giữa bạn và internet, lớp mặt nạ email này trong một số tình huống lại trở thành con đường tắt dẫn thẳng đến danh tính số của bạn. Khi dữ liệu cá nhân đã bị phơi bày, mọi lời hứa về bảo mật iCloud+ chỉ còn là khẩu hiệu.
Lỗi kỹ thuật nào đã khiến email thật bị lộ?
Theo các tài liệu vụ kiện, lỗ hổng cho phép kẻ xấu truy ra địa chỉ email thật đằng sau các alias Hide My Email ngẫu nhiên. Nghiên cứu cho thấy chỉ cần dùng những công cụ tìm kiếm danh tính trực tuyến cơ bản là có thể phân tích các email tạm thời của iCloud và lần ra email thật của người dùng. Nói cách khác, lớp ẩn danh đã bị bóc trần bằng những công cụ phổ biến mà bất kỳ ai cũng có thể sử dụng.
Một vấn đề khác xuất phát từ cách hệ thống xử lý thư rác: khi email gửi tới địa chỉ Hide My Email bị đánh dấu spam và bị từ chối, trong một số tình huống, email thật của người dùng lại xuất hiện trong mail logs trên máy chủ. Điều này nghĩa là email thật bị ghi lại trong hệ thống ghi nhật ký, tạo ra dấu vết mà lẽ ra không bao giờ được tồn tại nếu mục tiêu là ẩn danh hoàn toàn.
Mức độ nghiêm trọng: khi một alias có thể dẫn tới cả danh tính
Hide My Email là một phần giá trị của gói iCloud+ trả phí, được dùng rộng rãi khi người dùng đăng ký dịch vụ, đăng nhập website mới hoặc chưa tin cậy. Vì vậy, đối tượng bị ảnh hưởng không hề nhỏ: gần như bất kỳ ai đã tin tưởng giao quyền bảo vệ email của mình cho Apple. Vụ kiện tập thể hiện tại còn chia nhóm người dùng tại California và trên toàn nước Mỹ, cho thấy quy mô vấn đề không mang tính cá biệt.
Theo báo cáo, 100% các địa chỉ Hide My Email trên hai website được kiểm thử đều có thể bị khai thác. Đây là con số đủ để biến một lỗi kỹ thuật thành rủi ro quyền riêng tư nghiêm trọng. Một khi kẻ tấn công đã có email thật, họ có thể dùng nó để truy tiếp các cơ sở dữ liệu công khai nhằm lần ra tên, địa chỉ, số điện thoại và các thông tin nhạy cảm khác hoặc thử khớp với các danh sách mật khẩu rò rỉ. Trong bối cảnh rò rỉ dữ liệu diễn ra liên tục, một alias bị bóc trần có thể là mảnh ghép cuối cùng dẫn đến tài khoản và đời sống cá nhân của bạn.
Apple đã vá gì và tại sao phản ứng chậm lại gây tranh cãi?
Apple đã phát hành cập nhật bảo mật Apple dưới dạng bản vá cho lỗ hổng Hide My Email từ ngày 3/7/2026, sau hơn một năm kể từ khi nhận được báo cáo. Bản vá nhằm ngăn chặn việc email thật bị lộ trong mail logs khi hệ thống từ chối thư spam gửi đến địa chỉ ẩn. Điều này đồng nghĩa, ít nhất từ thời điểm này trở đi, lỗi kỹ thuật cụ thể đó đã được xử lý và người dùng mới tạo alias sẽ ít bị lộ dấu vết hơn.
Nhưng điểm gây tranh cãi là khoảng trễ hơn một năm giữa thời điểm Apple được thông báo và lúc bản vá xuất hiện. Trong suốt quãng thời gian này, tính năng vẫn được quảng bá như một lá chắn quyền riêng tư, dù lỗ hổng đã được báo cáo và một vụ kiện hiện cáo buộc hãng chậm khắc phục, không cảnh báo người dùng. Nghiêm trọng hơn, các địa chỉ Hide My Email được tạo trước khi bản vá triển khai có thể đã bị ghi lại trong mail logs nếu từng gặp tình huống tương tự. Nghĩa là quá khứ của bạn không thể được “vá” retroactive, dù hiện tại hệ thống đã an toàn hơn.
Người dùng iCloud+ nên làm gì ngay lúc này?
Về mặt pháp lý, nếu bạn quan tâm tới vụ kiện, hãy hiểu rằng các vụ kiện tập thể phải trải qua quy trình chứng nhận kéo dài, và sẽ mất thời gian trước khi – nếu được chấp thuận – có thể chính thức mở cho người dùng tham gia. Thông tin hiện tại cho thấy vụ kiện đang được chia thành hai nhóm: người dùng tại California và người dùng trên toàn nước Mỹ.
Ở góc độ thực tế, điều quan trọng hơn là bạn cần chủ động xem lại chiến lược email của mình. Đừng xem Hide My Email như lớp bảo vệ tuyệt đối; hãy coi nó là một lớp phòng thủ bổ sung. Nếu email thật của bạn có khả năng từng bị lộ, hãy cân nhắc: tách email cho các mục đích khác nhau, thay đổi mật khẩu với các combo hoàn toàn mới, bật xác thực hai yếu tố ở mọi dịch vụ quan trọng, và hạn chế dùng cùng một email cho ngân hàng, mạng xã hội và đăng ký linh tinh. Khi bản thân email đã trở thành chìa khóa mở cửa mọi tài khoản, thói quen an toàn quan trọng không kém bất kỳ bản cập nhật bảo mật Apple nào.
