✅この記事では、Appleの「メールを非公開（Hide My Email）」で、隠したはずの実アドレスが特定されてしまう、という報道について整理します。
- 要点まとめ：隠したはずのアドレスが逆算される話
- 何が起きたのか：「非公開」のはずのアドレスが逆算される
- 報告から1年以上：なぜまだ直っていないのか
- 使っている人は何をすればいいのか
- 【追記】ようやく修正、でも「直した」は3度目だった
- 海外の反応：「プライバシーのApple」への不信
- ひとこと：機能の穴より、放置の一年が気になる
- まとめ：使うのをやめる話ではなく、過信をやめる話
どうも、となりです。
サービスやアプリに登録するとき、本当のメールアドレスはできれば渡したくない。そんなときに便利なのが、iCloud+の「メールを非公開（Hide My Email）」です。登録用に使い捨てのアドレスを自動で作ってくれて、そこ宛のメールは本物のアドレスへ転送される。迷惑メールや漏洩から本アドレスを守る、盾のような機能です。
その盾に穴が空いていたかもしれない、という報道が出ました。404 Mediaによると、生成されたエイリアスから、その裏にある本当のメールアドレスを特定できる脆弱性が見つかり、しかも最初の報告から1年以上たった今も完全には直っていないというのです。
「メールを非公開」を使っている人ほど、これは自分ごとになりえます。何が起きて、自分に影響があるのか、今できることはあるのかを、分かっている範囲で見ていきます。
要点まとめ：隠したはずのアドレスが逆算される話
- 何が起きたか：iCloud+の「メールを非公開」で、エイリアスの裏にある本当のメールアドレスを特定できる脆弱性を研究者が指摘。404 Mediaが実際に検証して報じた
- 深刻度：研究者のテストでは対象アドレスの100%で特定に成功し、新規に作ったアドレスも数分で割り出せたとされる
- 1年以上未修正：2025年6月に報告されたが、2026年7月1日時点でもAppleは完全には直せていない
- 攻撃手法は非公開：悪用を防ぐため技術的な詳細は伏せられており、全ユーザーに実害が出たと確認されたわけではない
- 今できること：確実な回避策は今のところない。ただ、リスクの大きい使い方を避ける判断はできる
何が起きたのか：「非公開」のはずのアドレスが逆算される
「メールを非公開」の仕組みはシンプルです。登録などに使うランダムなアドレスを作り、そこ宛に届いたメールを本物のアドレスへ転送します。相手には本アドレスを見せないための一方通行の仕組み——のはずでした。
今回指摘されたのは、その一方通行が逆にたどれてしまうという問題です。404 Mediaは今週、自社で作った「メールを非公開」アドレスを使って実際に検証し、裏にある本当のアドレスにたどり着けたと報じています。悪用が続く恐れがあるため、具体的な手口は伏せられています。
見つけたのは、データ削除サービスEasyOptOutsの共同創業者であるタイラー・マーフィー（Tyler Murphy）氏です。マーフィー氏がボランティアを対象に行ったテストでは、9to5Macによると、作成したアドレスの100%で本アドレスの特定に成功したとされます。Six Colorsは、記者がその場で新しく作ったアドレスから、マーフィー氏が5分ほどで実アドレスを言い当てた検証の様子も伝えています。
つまり、たまたま一部が漏れる、という薄い話ではありません。条件がそろえば高い確率で、しかも短い時間で逆算できる——研究者はそう主張しています。
「メールを非公開」は、相手に本当の連絡先を知らせずにやり取りするための盾です。その盾越しに素顔が見えるとなると、盾だと思って使っていた前提が崩れます。フリマやマッチング、内部告発のように、相手に身元を知られたくない場面で頼っていた人にとっては、ただのバグ報告では済みません。
報告から1年以上：なぜまだ直っていないのか
この問題でいちばん引っかかるのは、脆弱性そのものより、直るまでの時間かもしれません。MacRumorsが伝えている経緯を並べると、対応の遅さがはっきりします。
マーフィー氏がAppleへ報告したのは2025年6月。再現手順まで添えて渡し、Appleは1か月後に受け取りを認めて「調査中」と回答しています。ここまでは、責任ある開示の流れとして普通です。
風向きが怪しくなるのはその後です。2026年3月、Appleはマーフィー氏に「最近のシステム変更で対応済み」と伝えました。ところが本人が確かめると直っておらず、追加情報を送ると、今度はまた「調査中」に戻ったといいます。5月にはAppleから「調査が終わるまで公表しないでほしい」と頼まれ、マーフィー氏は新規アドレスの発行を一時止めてはどうかと提案しましたが、実行された様子はありません。5月末の時点でAppleは、「数週間以内に予定しているセキュリティアップデートで対応する」と説明していました。
そして7月1日、まだ直っていません。報告から1年以上、「数週間以内」と言われてからも1か月以上が過ぎています。マーフィー氏が今回公表に踏み切ったのも、「これ以上待つのは気が進まない。利用者は知る権利がある」という判断からでした。なぜここまで時間がかかっているのか、Appleは説明していません。
もう一つ、気になる動きが重なっています。先月には、Appleが「メールを非公開」を専用ドメインの「private.icloud.com」へ移す件でも、別の指摘が出ていました。移行自体は整理のための変更ですが、まとめてエイリアスを弾きたいサービス側にとってはブロックしやすくなる、という副作用が心配されているものです。こちらは今回の脆弱性とは別の話ですが、「メールを非公開」まわりが立て続けに揺れているのは確かです。
使っている人は何をすればいいのか
では、使っている側は何をすればいいのか。正直に言うと、これをすれば安全、という決め手はまだありません。手口が公開されておらず、Apple側の修正も出ていない以上、こちら側で穴をふさぐ方法がないからです。
そのうえで、リスクの中身から考えると線引きはできます。危ないのは「実アドレスが分かること」そのものより、そこから先です。マーフィー氏は、実アドレスさえ分かれば、無料で使える人物検索サイトなどを通じて、名前や他の個人情報へたどられかねないと指摘しています。裏を返せば、たとえ知られても困らない相手に使っているだけなら、慌てる話ではありません。
重いのは、相手に素顔を知られたくない用途です。もし身元を隠したい相手とのやり取りに「メールを非公開」を使っているなら、修正が出るまでは、そこだけ別の手段を併用するか、新しく重要なアドレスを増やすのを控える、という判断はありえます。すでに作ったアドレスを慌てて消しても、過去に渡した先での露出が巻き戻るわけではないので、消すこと自体が対策になるとは限りません。
あとは、Appleが「数週間以内」と言ったアップデートが本当に出るのか。ここはこちらではどうにもできない部分で、Appleが動くのを見守るしかありません。
【追記】ようやく修正、でも「直した」は3度目だった
公開後に、続きがありました。Appleは404 Mediaに対し、7月3日にパッチを展開してこの問題を「完全に解決した」と伝えています。もう悪用できないとして、これまで伏せられていた手口も公開されました。エイリアス宛に、スパムと判定されて弾かれるメールを送ると、その拒否ログに本当のアドレスが現れる——という仕組みです。厄介なのは、多くの大手メールサービスでは、正当なメールが自動でスパム扱いされて弾かれるだけでも起きうる点でした。届かなかったメールなので、迷惑メールフォルダを見ても自分が対象だったかは分からない、と研究者は補足しています。
ただ、「7月3日に完全解決」というAppleの説明は、そのまま受け取れません。AppleInsiderが、その2週間後の7月17日に同じ手順を試したところ、エイリアスの裏にある本アドレスにたどり着けてしまったと報告しています。しかも、Appleが「直した」と言ったのは今回が初めてではありません。研究者側の記録では、Appleは3月3日と6月30日にも修正済みと伝えていて、そのどちらも実際には直っていなかったといいます。
| Appleが「直した」と伝えた時点 | その後どうなったか |
|---|---|
| 2026年3月3日 | 研究者が再現。直っていなかった |
| 2026年6月30日 | 研究者が再現。直っていなかった |
| 2026年7月3日（404 Mediaへ「完全に解決」） | AppleInsiderが7月17日に再現 |
| 現在 | 各者とも再現できず。ようやく修正を確認 |
AppleInsiderは今日の時点では再現できなくなったとしており、報告者のマーフィー氏らも「バグは修正された」と認めています。ですので、いま同じ手口がそのまま通る状態ではなさそうです。それでも、「7月3日で終わり」と区切れるだけの説明は、まだAppleから出ていません。段階的に展開したのか、いつ完了したのか、なぜ7月17日には成功したのか——そこが埋まらないと、独立した検証と食い違ったままです。
もう一つ、修正されても消えないリスクが残ります。弾かれたメールで一度漏れた本アドレスは、送信側や中継サーバーのログに残っていることが多く、あとからバグを直しても巻き戻せません。EasyOptOutsは、2026年7月7日より前に作ったエイリアスに紐づく本アドレスは、すでに露出したものとして扱うのが安全だとしています。エイリアスを消してもログは消えないので、消すこと自体が対策にはならない、という点は公開時から変わりません。
怖がりすぎないための線引きも、あわせて確認しておきます。今回の穴で漏れるのは本アドレスだけで、パスワードやApple Accountそのもの、受信箱の中身までは取られていません。攻撃するにも相手が特定のエイリアスをすでに持っている必要があり、無差別に全ユーザーを狙える類いのものではありませんでした。組織的に悪用されたという証拠も、いまのところ公表されていません。いっぽうで訴訟の動きは残っていて、「メールを非公開」が宣伝どおりに機能していなかったとして、MacRumorsによると、カリフォルニア州の虚偽広告法違反などを主張する集団訴訟（認定を求める段階）が起こされています。サブスク料金の返金などを求める内容ですが、原告本人のアドレスが漏れたと主張しているわけではありません。
海外の反応：「プライバシーのApple」への不信
反応で目立ったのは、機能そのものより、Appleの看板への失望や、対応の遅さへの皮肉でした。
This is the kind of thing that seriously undermines any claim that Apple is the “privacy” choice for consumers. I use “Hide my Email” regularly, so learning about this is really maddening. Apple management obviously doesn't see it as a serious issue if they allowed it to linger this long.
これって、Appleが消費者にとって『プライバシー』のための選択肢だ、という主張を根本から揺るがす類いの話だ。自分は『メールを非公開』を普段から使っているから、これを知って本当に腹が立っている。これだけ長く放置したということは、Appleの経営陣が明らかに深刻な問題だと思っていない証拠だ。
看板への失望 「プライバシーのApple」を信じて使っていた人ほど、堪えるはずです。広告で語られる姿勢と、1年以上放置された現実の落差に反応が集まっていました。
So a feature used to justify the walled garden of iCloud and its upselling tiers (from 200Gb to 2Tb, really no chance for an in-between?) not really private? Can we know for sure private relay is private then?
iCloudの囲い込みや、容量プランのアップセル（200GBから一気に2TB、その間はなしなの?）を正当化するために使われてきた機能が、実は大して非公開じゃない? だったら、プライベートリレーが本当にプライベートなのかも、確かめようがなくない?
他の機能まで疑う 有料のiCloud+を支える看板機能だからこそ、「じゃあ他は?」という不信につながっていました。プライベートリレー（Safariの通信を匿名化する機能）への飛び火は、一度崩れた信頼が戻りにくいことを表しています。
Class action so I can get 10 cents in 10 years?
集団訴訟でも起こして、10年後に10セントでも受け取れって?
あきらめ半分の皮肉 怒りを通り越して、こうしたシニカルな声も出ていました。実害の証明も補償も現実的ではない、という諦めが、逆に問題が宙ぶらりんな感じを言い当てています。
ひとこと：機能の穴より、放置の一年が気になる
ぼくが今回いちばん引っかかったのは、脆弱性が見つかったことより、見つかってからの1年でした。バグはどんなソフトにも出ます。気になるのは、100%再現すると報告された穴を、プライバシーを看板に掲げる会社が1年以上そのままにし、その間もSafariの追跡防止の広告を流していた、というちぐはぐさのほうです。
しかも、Appleのプライバシー機能が期待どおりに働いていなかった、という指摘は初めてではありません。TechCrunchは、プライバシー設定をオンにしてもアナリティクスのデータが送られていた問題（2022年）や、Wi-FiのMACアドレスの匿名化が実際には機能していなかった問題（2023年）を引き合いに出しています。一つひとつは直ってきたにせよ、「言っていることと実際」の食い違いが積み重なると、看板そのものが軽くなります。
もちろん、修正には慎重さが要るのかもしれないし、裏で動いている可能性もあります。ただ、少なくとも利用者から見えているのは沈黙で、その沈黙が「プライバシーのApple」という言葉の重さを少しずつ削っている気がします。
まとめ：使うのをやめる話ではなく、過信をやめる話
整理すると、「メールを非公開」に、エイリアスから本アドレスを逆算できる脆弱性が報告され、1年以上直っていない、というのが今の状況です。手口は伏せられ、全員に被害が出たとも確認されていないので、今すぐ全部やめるほどの話ではありません。
一方で、「非公開と書いてあるから絶対に匿名」という受け取り方は、いったん手放したほうが安全です。知られても平気な相手には今まで通り、素顔を隠したい相手には別の手段も——という使い分けができれば十分に付き合えます。すでに作ったアドレスを慌てて消すより、「非公開だから安全」という思い込みを外しておくほうが、いまは現実的な備えになります。次はAppleのアップデートがちゃんとこのバグをふさぐのか、そこを見ておきたいところです。
ではまた！
Yubico セキュリティキー YubiKey 5C NFC USB-C/FIDO2/WebAuthn/U2F/2段階認証/高耐久性/耐衝撃性/防水
今回の脆弱性を直接ふさぐ道具ではありませんが、この機会にApple IDのログインそのものを固めておきたくなったら、物理セキュリティキーはひとつの選択肢です。AppleはApple IDへのこの種のキー登録に対応していて、パスワードと確認コードだけの守りより一段固くなります。
AmazonSource：404 Media、MacRumors①、MacRumors②、9to5Mac①、9to5Mac②、AppleInsider、Six Colors、TechCrunch、MacRumors Forums①、MacRumors Forums②、MacRumors Forums③
