El bug de 'Ocultar mi correo' de Apple sigue exponiendo emails reales más de un año después: lo que debes saber

🔍 ¿Qué ha pasado exactamente?

En junio de 2025, Tyler Murphy, cofundador del servicio de eliminación de datos EasyOptOuts, descubrió un fallo en la función Ocultar mi correo de Apple que permite vincular cualquier alias anónimo con la dirección real de iCloud del usuario. Lo reportó a Apple con instrucciones detalladas para reproducirlo. La compañía acusó recibo en julio de 2025 y dijo estar investigando.

En marzo de 2026, Apple aseguró haber corregido el problema en una actualización del sistema. Murphy comprobó que no era cierto: el fallo seguía totalmente activo. Volvió a contactarles. En mayo, Apple le pidió que no hiciera pública la información mientras "seguían investigando". Ahora, más de 12 meses después del aviso inicial, Murphy ha decidido contarlo todo a través del medio 404 Media.

La gota que colmó el vaso: Apple le dijo que esperara una actualización "en las próximas semanas". Pasaron las semanas y no hubo nada.

📊 ¿Qué tan grave es?

Las pruebas que hizo Murphy con voluntarios dieron un resultado demoledor: el 100% de las direcciones de Ocultar mi correo eran explotables. 404 Media lo verificó de forma independiente creando un alias nuevo y compartiéndolo con Murphy. En cinco minutos, él ya tenía la dirección real asociada a esa cuenta.

Los detalles técnicos del fallo no se han hecho públicos —precisamente porque sigue siendo explotable— pero el patrón está claro: cualquiera que conozca la técnica puede desenmascarar el email real detrás de un alias. Y una vez que tienes ese email, los buscadores de datos personales gratuitos que existen en internet hacen el resto: nombre completo, ubicación aproximada, perfiles en redes sociales, números de teléfono, registros públicos... todo encadenable.

Como explicó Murphy: "Los sitios de búsqueda de personas de acceso público y gratuito hacen que sea fácil vincular una dirección de correo electrónico con otros datos personales, así que la gente que confía en Ocultar mi correo por seguridad puede estar en riesgo".

🐌 La cronología del desastre

He reconstruido la línea temporal con los datos de TechCrunch, 9to5Mac y la investigación original:

• Junio 2025: Tyler Murphy descubre el fallo y lo reporta a Apple con instrucciones para replicarlo.
• Julio 2025: Apple confirma la recepción del reporte y dice estar investigando.
• Marzo 2026: Apple comunica a Murphy que el problema está "solucionado en una actualización reciente del sistema". Murphy lo comprueba. Sigue funcionando.
• Mayo 2026: Apple pide a Murphy que no divulgue nada mientras investigan. Murphy sugiere suspender la creación de nuevos alias como medida cautelar. Apple no responde a esa sugerencia.
• Finales de mayo 2026: Apple dice que espera solucionarlo en una actualización de seguridad "en las próximas semanas".
• Julio 2026: Sin parche a la vista, Murphy lo hace público a través de 404 Media. 404 Media verifica el fallo de forma independiente. Sigue activo.

Doce meses. Ni un parche, ni una medida cautelar, ni siquiera un aviso a los usuarios.

🧠 Por qué me enfada especialmente este caso

Yo mismo uso Ocultar mi correo a diario. Lo activé en cuanto salió. Me parecía una de esas funciones que por fin hacían las cosas bien: cada registro en una web random, cada newsletter sospechosa, cada app que pedía email sin motivo... todo con alias desechables. La tranquilidad de saber que si algo se filtraba, no era mi correo de verdad.

Enterarme de que llevo más de un año con esa falsa sensación de seguridad da bastante rabia. No es un bug menor: es justo lo contrario de lo que la función promete. Y que Apple —la empresa que llena estadios con carteles de "Privacy. That's iPhone"— se haya tomado más de 365 días sin arreglarlo mientras pedía silencio al investigador... pues no encaja con el marketing, la verdad.

Para colmo, Apple anunció hace unas semanas que moverá los alias de Ocultar mi correo al dominio @private.icloud.com. La excusa oficial es técnica, pero el efecto práctico es que las apps y webs podrán bloquear estos alias más fácilmente, según señala Malwarebytes. O sea: no solo el sistema actual no protege como debería, sino que el próximo movimiento lo hace todavía menos útil.

🛡️ Qué puedes hacer mientras tanto

No voy a decirte que dejes de usar Ocultar mi correo. Sigue siendo mejor que dar tu email real a cualquier web. Pero ahora mismo no puedes confiar en que tu dirección real esté verdaderamente oculta. Esto es lo que recomiendo:

1. No dependas solo de Ocultar mi correo para tu privacidad

Úsalo como una capa más, no como la única. Si necesitas anonimato real para algo sensible, combínalo con otras herramientas: gestores de contraseñas con emails integrados (tipo Proton Pass o Bitwarden con alias), o servicios de email masking externos como SimpleLogin o Firefox Relay.

2. Revisa qué alias tienes activos

Ve a Ajustes → [tu nombre] → iCloud → Ocultar mi correo y echa un vistazo a la lista. Piensa si alguno de esos alias protege algo especialmente sensible. Si es el caso, plantéate cambiar la dirección asociada por una de otro proveedor mientras Apple publica el parche.

3. Estate atento a la actualización de seguridad

Apple ha dicho que la solución llegará en una actualización "en las próximas semanas" (lo mismo que dijo en mayo). Cuando llegue, instálala inmediatamente. Será probablemente a través de iOS 26.2, macOS Golden Gate 26.2 o similares. No la pospongas.

4. Reduce tu huella en buscadores de datos personales

Una vez que alguien tiene tu email, los data brokers hacen el resto. Servicios como EasyOptOuts (precisamente la empresa de Murphy), DeleteMe o Incogni se encargan de eliminar tu información de estos sitios. No es gratuito, pero si tu privacidad te importa, merece la pena. Yo llevo unos meses con EasyOptOuts y he notado la diferencia.

5. Usa emails distintos para cada servicio

Es un coñazo, lo sé. Pero crear alias únicos para cada web sigue siendo la mejor práctica de privacidad, esté roto o no el sistema de Apple. Si un servicio filtra tu alias, solo pierdes ese alias —no compromete los demás. Los especialistas en seguridad coinciden en que es la estrategia más sólida.

🏢 El patrón Apple: la privacidad como marketing

No es la primera vez que una función de privacidad de Apple resulta ser papel mojado. En 2022, Apple fue demandada porque las apps de iPhone seguían enviando datos de analytics incluso cuando el usuario había desactivado la opción de Compartir Analytics del iPhone. En 2023, investigadores descubrieron que la función de randomización de direcciones MAC para conexiones Wi-Fi —que supuestamente evitaba el rastreo— estaba exponiendo la dirección real del dispositivo. Básicamente, no servía para nada.

Apple ha construido gran parte de su reputación sobre la privacidad, pero los hechos dicen otra cosa cuando rascas un poco. La diferencia con este caso es que aquí el fallo se conoce desde hace más de un año y la empresa ha optado por el silencio en lugar de la transparencia.