Apple-tjeneste delte brukers e-post ved feil
Publisert
Kilde: Wired
E-posttjeneste hos Apple eksponerte brukerdata ved feil
Ingress: Apples funksjon «Skjul e-posten min» (Hide My Email) skal beskytte brukeres privatliv ved å opprette unike, tilfeldige e-postadresser. En nylig avdekket sårbarhet har imidlertid ført til at tjenesten i visse tilfeller sendte e-post videre til den egentlige brukeradressen, motsatt av det tiltenkte formålet.
«Skjul e-posten min» er en del av Apples iCloud+-tjeneste, designet for å gi brukerne ekstra personvernbeskyttelse online. Når en bruker oppretter en unik e-postadresse via tjenesten, videresendes all e-post sendt til denne adressen til brukerens faktiske innboks. Sårbarheten, som ble rapportert av Wired, oppsto da en tredjepartsapplikasjon brukte Apples Sign in with Apple-API på en måte som etterlot en kobling til den faktiske e-postadressen i hodet på videresendte e-poster.
Dette medførte at dersom en tredjepartsapp var integrert med tjenesten, kunne de som mottok e-post som ble videresendt, potensielt se den opprinnelige e-postadressen som e-posten ble sendt til. Selv om dette ikke innebar at e-postinnholdet ble endret eller at tilgang til selve personlige e-poster ble gitt, utgjorde det en lekkasje av privat informasjon som tjenesten var ment å hindre.
Apple har uttalt at de har løst problemet ved å oppdatere API-kallene som brukes av tredjepartsapper. De understreker at ingen uautorisert tilgang til brukerdata fant sted, og at feilen kun påvirket videresendingen i spesifikke scenarier. Slike hendelser belyser kompleksiteten i å opprettholde robust personvernbeskyttelse når flere systemer og tredjeparter er involvert.
Selv om hendelsen er knyttet til Apples globale tjenester, har den implikasjoner for norske forbrukere og utviklere som benytter seg av Apples økosystem. Tjenesten «Skjul e-posten min» er tilgjengelig for norske iCloud+-brukere, og sårbarheten kunne potensielt påvirket personvernet til disse. For norske teknologiselskaper og app-utviklere som integrerer med Apples plattform, understreker saken viktigheten av grundig testing og forståelse av hvordan API-er samhandler for å unngå utilsiktede personvernutfordringer.