Apple「Hide My Email」の不具合を修正、実際のメールアドレスがログに露出する可能性

Appleが提供するプライバシー機能「Hide My Email」で、本来隠されるはずの利用者の実際のメールアドレスがメールサーバーのログに現れる可能性がある不具合が修正されたと報じられています。特定のメールがスパムとして拒否されることがきっかけとなるケースがあり、利用者自身では過去の影響を確認しにくい点も問題となっています。
The Hacker News：Apple Fixes Hide My Email Bug That Exposed Real Addresses in Mail Logs

この記事のポイント

Appleの「Hide My Email」で、匿名化したメールアドレスに対応する実際のメールアドレスがメールログに記録される可能性がある問題が報告されました。
問題は2025年6月13日にAppleへ報告され、The Hacker Newsによると、2026年7月3日に修正が展開されたとされています。
特定ユーザー宛てのメールがスパムとして自動拒否された場合などに、実際のメールアドレスがログへ現れるケースがあったと説明されています。
利用者の受信箱や迷惑メールフォルダに対象メールが残らない場合があり、過去に影響を受けたか利用者自身で判断することは困難とされています。
不具合は修正済みですが、過去に生成されたHide My Emailアドレスに関連する実アドレスが、メール転送ログなどへ記録されていた可能性は残ります。

この記事に出てくる専門用語

Hide My Email AppleがiCloud+で提供するプライバシー機能です。ランダムなメールアドレスを生成し、そこに届いたメールを利用者の実際の受信箱へ転送することで、本来のメールアドレスを相手に直接伝えずに済む仕組みです。
メールログ メールサーバーがメールの送受信や配送結果などを記録する情報です。運用管理やトラブル調査などに利用されます。
バウンス 送信されたメールを宛先側のメールシステムが受け付けず、配送できなかった状態を指します。スパム判定などによって自動的に拒否される場合もあります。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

匿名アドレスの背後にある実アドレスがログへ露出

Hide My Emailは、利用者ごとにランダムなメールアドレスを作成し、そのアドレス宛てに届いたメールを本来の受信箱へ転送する仕組みです。相手企業やWebサービスなどに実際のメールアドレスを直接知らせずに済むため、プライバシー保護や不要なメールへの対策として利用できます。Appleはこの機能を2021年6月に発表し、iCloud+の有料機能として提供しています。

今回問題となったのは、Hide My Emailのアドレス自体ではなく、その裏側にある利用者の実際のメールアドレスがメール処理の過程で露出する可能性があった点です。報告によると、対象となるHide My Emailアドレスにメールを送り、そのメールがスパムなどの理由で拒否された場合、メールシステムが生成するログの中に転送先となる実際のメールアドレスが現れるケースがありました。つまり、利用者が相手に本来のアドレスを教えていなくても、メールインフラ側に残る記録から確認できる可能性があったことになります。

Hide My Emailの目的そのものが実際のアドレスを第三者から隠すことにあるため、この挙動は同機能が提供するプライバシー上の前提に関わる問題です。一方、The Hacker Newsの記事では、この問題によってどの程度の利用者情報が実際に取得されたのか、具体的な被害件数などは示されていません。そのため、脆弱性の存在と情報が悪用された事実は分けて考える必要があります。

スパムとして拒否されるだけでも発生するケース

この問題で特に注意すべきなのは、利用者がメール本文を開いたり、リンクをクリックしたりする必要がなかったとされている点です。EasyOptOutsのTyler Murphy氏とBen Weiner氏が404 Mediaに説明した内容によれば、一部の主要なメールホスティングサービスでは、Hide My Emailアドレス宛てに送られたメールが自動的にスパムとして拒否されただけでも、実際のメールアドレスがメールログへ記録される状況があったとされています。

これは影響調査を難しくする要因でもあります。通常、利用者が不審なメールを受信した場合は、受信箱や迷惑メールフォルダを確認することである程度の履歴を追えます。しかし、メールサーバー側で配送前に拒否されたメールは、利用者の受信箱まで届かない場合があります。そのため、過去に自分のHide My Emailアドレスがこの問題の対象になったかどうかを、受信履歴だけから判断できない可能性があります。

記事では、どの程度の頻度で実アドレスがログに残ったのかは分かっていないとされています。また、メールログへ記録された情報を誰が閲覧できたのか、第三者による取得が実際に発生したのかについても具体的な事例は示されていません。企業のIT担当者にとっては、「ログに情報が存在すること」と「その情報が第三者へ流出したこと」を混同せず、確認されている事実の範囲を正確に捉えることが重要です。

2025年に報告、複数回の修正を経て対処

問題をAppleへ報告したのは、EasyOptOuts共同創業者のTyler Murphy氏です。The Hacker Newsによると、最初の報告は2025年6月13日に行われました。その後、Appleは修正を試みたものの、2026年3月の対応では問題を完全には解消できず、さらに2026年6月30日にも修正が試みられたとされています。最終的には404 Mediaの報道として、2026年7月3日に修正が展開されたと伝えられています。

問題の技術的な詳細は、修正前の段階では悪用を避ける目的から公開が控えられていました。その後、問題が解消されたことを受け、メールが拒否された際のログ処理が実アドレスの露出につながっていたことなどが明らかにされています。脆弱性情報では、修正が完了する前に再現方法を詳細に公開すると悪用につながる場合があるため、こうした段階的な情報公開はセキュリティ研究で用いられる対応の一つです。

なお、元記事にはCVE番号やCVSSスコアは記載されていません。また、特定のiOS、macOS、iCloudなどのバージョンを影響範囲として示す情報も掲載されていません。そのため、本件を特定OSバージョンの脆弱性として扱ったり、独自に深刻度を数値化したりすることは適切ではありません。確認できる対策情報としては、Apple側でHide My Emailサービスの問題が修正されたという点までとなります。

修正後も過去のメールログに残った情報には注意

Apple側で問題が修正されたとしても、それ以前にメールシステムのログへ記録された情報が自動的に消えるとは限りません。The Hacker Newsは、2026年7月7日より前に作成されたHide My Emailアドレスに関連する実際のメールアドレスについて、悪意のない通常メールがバウンスしたケースでも、メール転送ログなどに記録されていた可能性があるとしています。一方で、記事では実際にどれだけのログへ情報が残ったのか、また保存期間などについて具体的な数字は示されていません。

このため、Hide My Emailを利用していたことだけを理由に、実際のメールアドレスが外部へ漏えいしたと断定することはできません。確認されているのは、特定条件下でメールログに実アドレスが現れる仕組み上の問題が存在していたことです。ログを保有するメールサービス事業者や管理者がその情報へアクセスできる可能性と、不正な第三者が情報を取得したかどうかは別の問題になります。

企業利用の観点では、匿名化やエイリアス機能を導入していても、その裏側で動作するメール転送、配送エラー、監査ログなどに元の識別情報が残らないかを確認することが重要です。プライバシー機能は画面上でアドレスを隠すだけでは成立せず、バックエンドのログや障害処理を含めたデータフロー全体で情報が保護されている必要があります。本件は、クラウドサービスを利用する際にもログ設計まで含めたプライバシー保護が重要であることを示す事例といえます。

Hide My Emailをめぐり集団訴訟も提起

今回の問題をめぐっては、Appleに対する集団訴訟も提起されています。The Hacker Newsが紹介している訴状では、AppleがHide My Emailをプライバシー保護機能として顧客に提供しながら、その約束を十分に果たしていなかったという趣旨の主張がなされています。また、Appleが問題を認識していた期間中も機能を停止せず、利用者への警告やプライバシーに関する説明の修正を行わなかったとの主張も含まれています。

ただし、これらは訴訟を提起した側の主張であり、裁判所によってAppleの法的責任が確定したことを意味するものではありません。セキュリティニュースを読む際には、「技術的に確認された不具合」と「原告が裁判で主張している内容」を分けて理解する必要があります。元記事でも、技術的な不具合の説明と訴訟上の主張はそれぞれ別の情報として取り上げられています。

Hide My EmailはiCloud+の一機能として提供されているため、プライバシーをサービス価値として掲げる事業者にとっては、機能そのものの安全性だけでなく、問題発覚後の通知や説明、修正までの対応も利用者から評価される要素になります。企業が同様の匿名化機能やプライバシーサービスを提供する場合も、設計段階からログや障害処理を含めて検証し、問題が見つかった際の利用者への情報提供方針まで事前に定めておくことが重要です。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）