Apple은 자신의 Hide My Email 기능에서 발생한 취약점을 수정했다고 밝혔습니다. 이 취약점은 해당 기능에 의해 보호되어야 할 사용자의 실제 이메일 주소를 사실상 누구나 알아낼 수 있게 만들었습니다. Apple은 이 문제를 1년 이상 알고 있었음에도 불구하고, 7월 초 404 Media가 이에 대해 보도한 이후에야 취약점을 수정했습니다.

이 소식은 해당 취약점과 관련하여 Apple을 상대로 한 집단 소송(class action lawsuit) 제기 소식과도 맞물려 있습니다.

수요일, Apple은 404 Media에 7월 3일에 해당 문제에 대한 패치(patch)를 배포했으며, 이를 통해 문제가 완전히 해결되었다고 말했습니다.

Hide My Email은 Apple의 유료 서비스인 iCloud+ 제품의 일부입니다. 이 기능은 고객이 웹사이트나 서비스에 가입하거나 사람들에게 이메일을 보낼 때 사용할 수 있는 새롭고 익명인 이메일 주소를 빠르게 생성할 수 있게 해줍니다. 생성된 이메일 주소는 일반적으로 두 개의 무작위 단어 뒤에 숫자가 붙고 @icloud.com 도메인이 붙는 형식을 취합니다. 저는 이 기능을 적극적으로 사용하는데, 예를 들어 해커들이 데이터 유출 사고(data breaches)를 통해 저의 활동과 계정들을 교차 참조하는 것을 더 어렵게 만들기 위해서입니다.

이와 유사한 다른 개인정보 보호 문제를 알고 계신가요? 여러분의 의견을 듣고 싶습니다. 업무용이 아닌 기기를 사용하여 Signal의 joseph.404로 안전하게 메시지를 보내거나 joseph@404media.co로 이메일을 보내주세요. EasyOptOuts의 공동 창립자인 Tyler Murphy는 Hide My Email 사용자의 실제 이메일 주소를 찾아낼 수 있다는 사실을 발견했습니다. 당시 Murphy는 "문제의 전체 범위를 알 수는 없지만, 자원봉사자들과 함께 진행한 제한적인 테스트에서는 Hide My Email 주소의 100%가 악용 가능했습니다"라고 말했습니다. 여기에는 우리가 테스트했던 저의 주소도 포함되었습니다.

Murphy는 2025년 6월에 Apple에 이 문제를 처음 보고했습니다. 그 후 몇 달 동안 Apple은 문제를 조사 중이라고 말했고, 문제를 수정했다고 말하기도 했으나, Murphy는 여전히 악용이 가능하다는 것을 발견했습니다. 그러자 Apple은 다시 조사를 진행 중이라고 답했습니다. Apple이 문제를 전혀 해결하지 않을 수도 있다고 생각한 Murphy는 Apple이 취약점을 인지한 지 약 1년이 지난 시점에 404 Media에 연락했습니다.

몇 주 전 404 Media가 이 문제를 처음 다루었을 때, 우리는 Apple이 이를 수정하지 않았기 때문에 작동 방식에 대한 어떠한 세부 정보도 포함하지 않았습니다. 즉, 우리가 더 구체적인 내용을 공개한다면 제3자가 이를 악용하는 방법을 알아내어 사람들의 실제 이메일 주소를 드러낼 수도 있었기 때문입니다.

이제 Apple이 문제를 수정했다고 밝혔으므로, 간단히 말해 이 취약점은 대상 Hide My Email 사용자가 스팸으로 거부되는 메시지를 보내는 과정이 필요했다는 점을 추가할 수 있습니다. Murphy와 EasyOptOut의 공동 창립자인 Ben Weiner는 새로운 성명을 통해 “숨겨진 이메일 주소가 이메일 로그에 얼마나 자주 유출되었는지는 알 수 없습니다. 많은 주요 이메일 호스트의 경우, 메시지가 정당한 메시지일지라도 단순히 스팸으로 자동 거부됨으로써 유출이 발생했습니다. 이러한 이메일은 아마도 귀하의 받은 편지함에 도달하지 않았을 것이므로, 스팸 폴더를 확인하여 영향을 받았는지 여부를 알 수 없습니다”라고 말했습니다.

그들은 또한 “Apple의 Hide My Email이 발신자에게 숨겨진 이메일 주소를 유출하게 만든 버그는 수정되었습니다. 하지만 Hide My Email 사용자들에 대한 위험이 완전히 제거되었다고는 생각하지 않습니다. 악의적이지 않은 이메일이 반송되면서 귀하의 숨겨진 이메일 주소가 드러날 수 있고, 메일 전송 로그(mail transfer logs)는 종종 보관되기 때문에, 2026년 7월 7일 이전에 생성된 Hide My Email 주소와 연결된 모든 숨겨진 이메일 주소는 노출되었을 수 있으며 여전히 제3자의 로그에 남아 있을 수 있다고 가정합니다”라고 덧붙였습니다.

PCMag의 보도에 따르면, Apple을 상대로 한 집단 소송은 고객이 해당 기능에 지불한 구독 비용의 전액 환불과 Apple의 “기만적 행위(deceptive conduct)”에 대한 금지 명령을 구하고 있습니다.