Parece que ni siquiera el ecosistema más cerrado del mundo se libra de tener alguna que otra gotera importante que compromete lo que más venden: la privacidad. Aunque Apple siempre saca pecho con sus sistemas de protección, se ha descubierto que su función Hide My Email tiene un agujero bastante serio que deja a los usuarios con el culo al aire en el momento menos pensado.
Este servicio, que en teorÃa sirve para crear alias aleatorios y que nadie sepa cuál es tu cuenta real de correo al registrarte en webs, está haciendo precisamente todo lo contrario. Diversas fuentes han confirmado que la vulnerabilidad expone la dirección verdadera de los usuarios, lo cual es un fastidio si precisamente estabas usando esta herramienta para evitar que te rastrearan por la red o te llenaran la bandeja de entrada de basura.
Un investigador avisó a Apple hace meses sin éxito
Resulta que este lÃo no es algo de ayer por la tarde, ya que el experto en ciberseguridad Tyler Murphy lleva avisando de esto un buen tiempo. A pesar de que el informe original se envió a la compañÃa de la manzana a mediados del año pasado, parece que en Cupertino se lo han tomado con bastante calma porque el fallo sigue ahà coleando. Murphy, que es el fundador del servicio EasyOptOuts, ha demostrado que se puede saltar esta protección en el 100% de los casos probados, lo que deja claro que el sistema no está funcionando como deberÃa bajo ninguna circunstancia.
Por ahora, los detalles técnicos más peliagudos de cómo se aprovecha este exploit no se han hecho públicos para no dar demasiadas pistas a los amigos de lo ajeno. Es una medida lógica para evitar que se produzcan ataques masivos de spam o campañas de suplantación, pero la realidad es que el riesgo está ahà fuera y cualquiera que use esta función de iCloud podrÃa ver cómo su privacidad se va al traste por un despiste técnico que Apple aún no ha querido o podido solventar de forma definitiva.
Riesgos reales para la privacidad de los usuarios
La cosa no es ninguna tonterÃa, porque que alguien sepa tu correo real es el primer paso para que te frÃan a mensajes no deseados o, lo que es peor, intenten robarte la cuenta. Para colectivos más sensibles como activistas o vÃctimas de acoso, este tipo de filtraciones pueden tener consecuencias bastante más graves que recibir publicidad de zapatillas. Al quedar expuesto el email real, es mucho más sencillo para un atacante rastrear otros datos personales, como el número de teléfono o incluso la dirección fÃsica, tirando del hilo de la información disponible en internet.
Este no es el primer tropezón que tiene la marca en este sentido, ya que hace un par de años ya tuvieron lÃos porque los iPhone seguÃan enviando datos analÃticos incluso cuando el usuario habÃa dicho especÃficamente que no querÃa. También se vio algo parecido con las direcciones MAC que supuestamente se ocultaban pero que, a la hora de la verdad, no eran tan invisibles como prometÃan. Está claro que, por mucha campaña de marketing que hagan, la confianza de los usuarios se resiente cuando ocurren estas cosas de forma repetida en servicios que pagamos precisamente para estar tranquilos.
Como hemos visto, el servicio que deberÃa ser un escudo para tu identidad digital tiene ahora mismo una brecha importante que permite descubrir quién está detrás de cada alias aleatorio. Con un historial de avisos ignorados por parte de la empresa y un riesgo de exposición total confirmado por expertos, lo más sensato es andar con pies de plomo y no confiar a ciegas en esta herramienta hasta que llegue un parche oficial. Mantener a salvo nuestra información personal requiere estar al tanto de estos fallos, especialmente cuando afectan a funciones diseñadas especÃficamente para protegernos del rastreo masivo en la red.