Lỗ hổng Hide My Email lộ email thật của người dùng Apple

Tính năng Hide My Email (Ẩn email của tôi) của Apple - vốn được quảng bá là lớp bảo vệ quyền riêng tư khi đăng nhập website bên thứ ba - vừa bị phát hiện có lỗ hổng nghiêm trọng, khiến email thật của người dùng có thể bị lộ hoàn toàn.

Lỗ hổng Hide My Email hoạt động như thế nào?

Nhà nghiên cứu bảo mật Tyler Murphy công bố phát hiện này trên 404Media vào ngày 1/7. Theo đó, dù người dùng đã chọn đăng nhập bằng tài khoản Apple thông qua Hide My Email, các nền tảng và website bên thứ ba vẫn có thể thu được địa chỉ email thật của họ.

Murphy cho biết ông đã báo cáo lỗ hổng này cho Apple từ một năm trước, nhưng công ty chưa có bất kỳ động thái khắc phục nào. Sau đó, ông cùng 404Media tiến hành kiểm tra chuyên sâu hơn và kết quả rất đáng lo ngại.

"Chúng tôi chưa biết rõ phạm vi đầy đủ của vấn đề. Nhưng trong các thử nghiệm thực tế, 100% địa chỉ email của Hide My Email đều có thể bị khai thác", Murphy phát biểu. Ông từ chối tiết lộ chi tiết cơ chế khai thác vì lo ngại thông tin này sẽ bị kẻ xấu lợi dụng.

Murphy là nhà đồng sáng lập EasyOptOuts, dịch vụ xóa dữ liệu cá nhân trả phí tại Mỹ. Ông cảnh báo người dùng không nên đặt niềm tin hoàn toàn vào cơ chế của Hide My Email.

Tính đến thời điểm bài viết được đăng, Apple vẫn chưa đưa ra bình luận chính thức về vụ việc.

Hide My Email là tính năng gì?

Hide My Email được Apple giới thiệu vào tháng 9/2021 cùng với iOS 15 và iPadOS 15. Theo mô tả của Apple, tính năng này cho phép người dùng tạo địa chỉ email ảo ngẫu nhiên khi đăng ký tài khoản trên các nền tảng bên thứ ba thông qua chức năng đăng nhập nhanh bằng Apple ID.

Về nguyên lý, email ảo sẽ nhận thư và chuyển tiếp về hộp thư chính của người dùng, giúp giữ bí mật email thật và hạn chế thư rác. Tuy nhiên, lỗ hổng vừa được công bố cho thấy cơ chế bảo vệ này không hoạt động như kỳ vọng.

Apple và chuỗi sự cố về tính năng bảo mật

Đây không phải lần đầu tiên một tính năng bảo mật của Apple bị chứng minh là hoạt động không đúng như quảng cáo.

• Năm 2022, Apple đối mặt với vụ kiện liên quan đến iPhone Analytics. Dù Apple tuyên bố việc tắt tính năng này sẽ ngừng thu thập dữ liệu từ App Store, Apple Music, Apple TV, Books và Stocks, các nhà nghiên cứu phát hiện thiết bị vẫn âm thầm gửi dữ liệu về máy chủ của hãng.
• Năm 2023, tính năng Private Wi-Fi Addresses - vốn được thiết kế để giấu địa chỉ MAC thật của thiết bị bằng cách tạo địa chỉ MAC ngẫu nhiên - cũng bị phát hiện có trường hợp để lộ địa chỉ MAC thật khi đang kích hoạt.

Theo Gizmodo, thói quen ứng xử của Apple trong hầu hết các sự cố tương tự là âm thầm vá lỗi qua bản cập nhật phần mềm, thay vì chủ động lên tiếng thừa nhận vấn đề.

Theo VnExpress