Si pagas por iCloud+ y usas Safari, es probable que hayas activado iCloud Private Relay para navegar con una capa extra de privacidad. La promesa de Apple es clara: las webs no deberían ver tu dirección IP real ni tu ubicación exacta. Sin embargo, unos investigadores de seguridad han destapado varias vías por las que esa protección puede saltar por los aires.
El hallazgo, realizado por Talal Haj Bakry y Tommy Mysk, afecta a tres funciones de WebKit, el motor que usa Safari y todos los navegadores de iOS. Dos de ellas pueden exponer tu IP real, y la tercera revela información sobre tus servidores DNS. Lo más preocupante es que no hace falta que una web te engañe para que se produzcan estas fugas: basta con que use tecnologías legítimas del navegador.
¿Qué es iCloud Private Relay y cómo funciona?
iCloud Private Relay es un servicio incluido en iCloud+ que actúa como un intermediario entre tu dispositivo y las páginas web. Cuando navegas con Safari, tu tráfico se envía a través de dos servidores de retransmisión independientes. El primero, operado por Apple, ve tu dirección IP pero no sabe qué sitio visitas, ya que los registros DNS van cifrados. El segundo, gestionado por un proveedor externo, genera una dirección IP temporal y se conecta al sitio web. Así, ni tu operador ni la web pueden saber quién eres y qué haces al mismo tiempo.
Este sistema está diseñado para que ninguna parte pueda unir tu identidad con tu actividad de navegación. Pero los investigadores han demostrado que ciertas funciones de WebKit pueden saltarse ese esquema, y no solo en Safari: como todos los navegadores de iOS usan WebKit, el problema se extiende a cualquier navegador del iPhone.
Las tres vías de fuga: DNS prefetching, passkeys y WebTransport
La primera vía es la precarga de DNS. Los navegadores suelen resolver los nombres de dominio de los enlaces antes de que hagas clic para acelerar la carga. En WebKit, esas consultas DNS pueden salir por la conexión normal del dispositivo, en lugar de pasar por el proxy de Private Relay. Así, una web podría ver las solicitudes DNS provenientes de tu red real, exponiendo información sobre tu proveedor y ubicación aproximada.
La segunda vía está relacionada con las passkeys (claves de acceso). Cuando un sitio web usa WebAuthn para verificar tu identidad, el sistema operativo puede contactar directamente con el servidor para descargar un archivo de verificación. Esa petición se realiza fuera del navegador, por lo que no pasa por Private Relay. El servidor de destino recibe tu IP real, incluso aunque la web solo pretenda soportar passkeys, sin necesidad de que se muestre ningún aviso.
La tercera vía es WebTransport, un protocolo que permite conexiones de baja latencia entre el navegador y los servidores. WebKit puede establecer una conexión WebTransport directamente desde tu dispositivo, sin pasar por el proxy configurado. Esto también expone tu IP real al servidor. Según los investigadores, estas fugas están presentes desde iOS 26.0 (DNS prefetching) y iOS 26.4 (WebTransport), y afectan a todos los dispositivos Apple.
La demanda colectiva contra Apple
El descubrimiento no ha tardado en tener consecuencias legales. El despacho Clarkson Law Firm, el mismo que consiguió un acuerdo de 250 millones de dólares por los retrasos de las funciones de Siri, ha presentado una demanda colectiva contra Apple. En ella se acusa a la compañía de fraude, publicidad engañosa y violación de la confianza de los consumidores. Según la demanda, Apple sabía o debería haber sabido que iCloud Private Relay no cumplía con lo prometido, y aun así siguió vendiendo suscripciones a iCloud+.
El abogado Tim Giordano, socio de Clarkson, ha declarado que Apple construyó su marca sobre la promesa de proteger la privacidad de los usuarios, y que ahora se ha descubierto que los clientes pagaron una prima por una protección que no funcionaba. La demanda busca una compensación económica y una orden judicial para que Apple cambie sus prácticas comerciales. Apple no ha respondido públicamente a las acusaciones, aunque los investigadores afirman que la compañía no ha mostrado intención de solucionar el problema de forma inmediata.
¿Qué puedes hacer para protegerte?
Mientras Apple decide cómo abordar estas vulnerabilidades, los expertos recomiendan no desactivar Private Relay, ya que la mayor parte de la navegación sigue protegida. Eso sí, conviene mantener el sistema operativo actualizado, ya que las correcciones de seguridad suelen llegar con las actualizaciones de iOS, iPadOS y macOS. En el iPhone, puedes comprobar la versión en Ajustes > General > Actualización de software.
Si tu prioridad es ocultar tu IP real en todo momento, una VPN de confianza puede ser una alternativa, ya que canaliza todo el tráfico del dispositivo a nivel de sistema, sin depender de la configuración de WebKit. Los investigadores confirman que las VPN no se ven afectadas por estas fugas. No obstante, una VPN no te hace invisible: las webs pueden reconocerte si inicias sesión o dejas cookies.
También es recomendable seguir usando passkeys, ya que el fallo no compromete la seguridad de las claves en sí, sino que expone la IP durante el proceso de verificación. Los desarrolladores del navegador Psylo ya han modificado su comportamiento para bloquear estas vías, lo que demuestra que es posible cerrar estas brechas.
En definitiva, iCloud Private Relay sigue siendo una herramienta útil para la privacidad en Safari, pero no es infalible. La demanda colectiva podría obligar a Apple a mejorar la transparencia y a corregir estos fallos. Mientras tanto, los usuarios deben ser conscientes de que, en ciertas situaciones, su IP puede quedar expuesta sin que ellos lo noten. La mejor estrategia es combinar varias capas de protección y mantenerse informado sobre las actualizaciones de seguridad.
