Lỗ hổng bảo mật khiến email bị lộ khi sử dụng tính năng Hide My Email của Apple

Lỗ hổng bảo mật trong tính năng Hide My Email của Apple

Tính năng Hide My Email, được Apple giới thiệu vào tháng 9/2021 cùng với iOS 15 và iPadOS 15, được thiết kế để bảo vệ quyền riêng tư của người dùng bằng cách tạo ra các địa chỉ email ảo ngẫu nhiên. Tuy nhiên, một lỗ hổng nghiêm trọng trong tính năng này đã được nhà nghiên cứu bảo mật Tyler Murphy phát hiện, cho thấy email thật của người dùng vẫn có thể bị lộ.

Hide My Email hoạt động như thế nào?

Hide My Email là một phần của hệ sinh thái bảo mật mà Apple cung cấp cho người dùng. Khi sử dụng tính năng này, người dùng có thể tạo các địa chỉ email ảo dùng một lần để đăng ký tài khoản trên các nền tảng hoặc website bên thứ ba. Các email được gửi đến địa chỉ ảo này sẽ được chuyển tiếp đến hộp thư chính của người dùng, giúp họ bảo vệ danh tính và tránh bị spam.

Theo Apple, mục tiêu của Hide My Email là đảm bảo rằng các nền tảng bên thứ ba không thể thu thập được địa chỉ email thật của người dùng. Tuy nhiên, lỗ hổng được phát hiện đã làm suy yếu mục tiêu này.

Lỗ hổng bị phát hiện và mức độ nghiêm trọng

Tyler Murphy, nhà đồng sáng lập dịch vụ bảo mật EasyOptOuts, đã phát hiện ra lỗ hổng này và công bố trên 404Media vào ngày 1/7/2026. Theo Murphy, lỗ hổng cho phép các website và nền tảng bên thứ ba thu được email thật của người dùng ngay cả khi họ sử dụng Hide My Email. Điều này đồng nghĩa với việc quyền riêng tư của người dùng không được đảm bảo như Apple đã cam kết.

Murphy cho biết ông đã gửi cảnh báo đến Apple từ một năm trước, nhưng công ty vẫn chưa khắc phục vấn đề. Để kiểm chứng, ông đã tiến hành các thử nghiệm sâu hơn cùng với 404Media và phát hiện rằng "tất cả nỗ lực khai thác lỗi đều thành công". Dù vậy, Murphy từ chối công bố chi tiết kỹ thuật của lỗ hổng để tránh việc nó bị lợi dụng bởi các bên xấu.

Tác động đến người dùng

Lỗ hổng này đặt ra nhiều lo ngại về quyền riêng tư và bảo mật dữ liệu cá nhân. Khi email thật bị lộ, người dùng có thể đối mặt với các rủi ro như:

- Spam và lừa đảo qua email: Các nền tảng bên thứ ba có thể sử dụng email thật để gửi spam hoặc thực hiện các chiến dịch lừa đảo.
- Rò rỉ thông tin cá nhân: Email thường được liên kết với nhiều tài khoản trực tuyến, việc lộ email có thể dẫn đến nguy cơ bị hack hoặc đánh cắp danh tính.
- Mất niềm tin vào hệ sinh thái Apple: Apple luôn quảng bá các tính năng bảo mật của mình như một lợi thế cạnh tranh, nhưng lỗ hổng này có thể làm giảm uy tín của công ty.

Phản ứng từ Apple và cộng đồng

Hiện tại, Apple vẫn chưa đưa ra bình luận chính thức về vấn đề này. Việc công ty im lặng trong khi lỗ hổng đã được báo cáo từ một năm trước khiến nhiều người dùng và chuyên gia bảo mật thất vọng. Điều này cũng đặt ra câu hỏi về quy trình xử lý và phản hồi của Apple đối với các vấn đề bảo mật nghiêm trọng.

Cộng đồng công nghệ đã có những ý kiến trái chiều. Một số người cho rằng đây là một lỗi khó tránh trong quá trình phát triển tính năng mới, nhưng cũng có nhiều ý kiến chỉ trích Apple vì không hành động kịp thời để bảo vệ người dùng.

Lời khuyên dành cho người dùng

Trong khi chờ đợi Apple khắc phục lỗ hổng, người dùng có thể thực hiện một số biện pháp sau để bảo vệ mình:

1. Hạn chế sử dụng Hide My Email cho các dịch vụ quan trọng: Nếu có thể, hãy sử dụng địa chỉ email phụ để đăng ký tài khoản trên các nền tảng bên thứ ba.
2. Theo dõi các thông báo từ Apple: Người dùng nên cập nhật thường xuyên các bản vá bảo mật từ Apple để đảm bảo thiết bị luôn được bảo vệ.
3. Cảnh giác với các email lạ: Không mở các email từ nguồn không rõ ràng và tránh nhấp vào các liên kết đáng ngờ.

Kết luận

Lỗ hổng trong tính năng Hide My Email là một lời nhắc nhở rằng không có hệ thống bảo mật nào là hoàn hảo. Dù Apple đã nỗ lực cung cấp các tính năng bảo mật tiên tiến, nhưng việc chậm trễ trong khắc phục vấn đề có thể làm giảm niềm tin của người dùng. Đây cũng là bài học cho các công ty công nghệ khác trong việc xử lý các lỗ hổng bảo mật một cách nhanh chóng và minh bạch.

Người dùng cần chủ động bảo vệ dữ liệu cá nhân của mình và không nên phụ thuộc hoàn toàn vào các tính năng bảo mật của bất kỳ nền tảng nào.