Apple「隱藏我的郵件」漏洞傳已修補但仍可重現，Mac Mail 可能外洩真實信箱

最後更新： 2026 年 7 月 22 日

Apple 先前表示已在 2026 年 7 月 3 日修補 iCloud+ 內「隱藏我的電子郵件」漏洞，但外媒在 7 月 17 日測試時，仍成功重現問題。這代表使用者透過「隱藏我的電子郵件」隱藏的真實電子郵件地址，當時可能還有被揭露的風險。

隱藏我的電子郵件

更值得注意的是，另一名開發者也發現 Mac Mail 存在獨立問題，可能讓回信時意外暴露綁定 Apple 帳號的信箱地址，也就是你自己的個人電子郵件。

如果你有長期使用「隱藏我的電子郵件」註冊網站、訂閱服務或收發促銷信，這件事仍值得留意。

Apple 說已修補「隱藏電子郵件」Bug，但 2 週後仍被驗證成功

iCloud+ 的「隱藏我的電子郵件」功能會替使用者建立一組轉寄用的信箱地址，讓你在網站、App 或服務註冊時，不必直接提供自己的真實電子郵件地址。

不過根據報導，只要寄件者手上已經持有你所生成的那組「隱藏我的電子郵件」，就可能用不高的技術門檻，反查出背後對應的真實信箱。Apple 曾向 404 Media 表示，已在 2026 年 7 月 3 日部署修補程式，並稱漏洞已完整解決；但 AppleInsider 在 7 月 17 日實測時，依然成功重現相同行為。

研究人員指出，這類漏洞回報其實已經和 Apple 溝通將近一年。EasyOptOuts 共同創辦人 Tyler Murphy 與 Ben Weiner 表示，Apple 曾在 3 月 3 日與 6 月 30 日宣稱修好相關問題，但之後仍可再次重現。雖然目前外媒表示在 7 月 17 日之後已無法再次重現，代表漏洞可能真的已經被封堵，但 Apple 至今仍未清楚說明，7 月 3 日究竟是修補開始部署的日期，還是全面完成的時間點。

實際影響多大？舊別名綁定的真實信箱要提高警覺

從目前資訊來看，這個「隱藏我的電子郵件」漏洞並不代表所有用戶都一定受害，也沒有公開證據顯示出現大規模濫用。

因為攻擊者首先得先知道你透過「隱藏我的電子郵件」功能產生出來的那組 Email 信箱後，才能針對該 Mail 下手，而且每個 Mail 都得個別處理，無法一次性大規模掃描。

但風險仍然存在。研究團隊提醒，若真實信箱曾綁定在 2026 年 7 月 7 日之前建立的「隱藏我的電子郵件」上，這些地址應視為可能已曝光。原因是就算 Apple 後續完成修補，先前被退信或處理過的郵件資訊，仍可能保留在第三方郵件服務的紀錄或 log 中。

對一般使用者來說，現階段不需要急著全面停用「隱藏我的電子郵件」，因為已知影響主要集中在隱私匿名性，而非帳號控制權或登入安全。

Mac Mail App 也可能在回信時暴露 Apple 帳號信箱

除了「隱藏我的電子郵件」本身的漏洞，開發者 Jeff Johnson 也在 7 月 19 日揭露另一個與 Mac Mail 有關的隱私問題。根據他的測試，只要攻擊者在郵件標頭中加入特製的 X-Icloud-Hme 資訊，Mail App 介面就可能誤判這封信是經由「隱藏我的電子郵件」轉寄，甚至在回覆視窗中顯示誤導性的寄件身份。

▼ 在 Johnson 的測試中，特製的 X-Icloud-Hme 標頭足以觸發 Mac Mail 錯誤

隱藏我的電子郵件

更麻煩的是，使用者看到的「寄件者」資訊，可能和實際送出的信箱不同。

Johnson 表示，Mac Mail 在某些情況下會讓回信從綁定 Apple 帳號的電子郵件地址送出，導致真實地址曝光，而使用者在畫面上未必能獲得足夠明確的警告。

這個問題的影響範圍甚至比「隱藏我的電子郵件」用戶更廣。因為 Johnson 表示自己沒有使用「隱藏我的電子郵件」，也沒有 iCloud.com 信箱，但只要在 Mac Mail 中整合了個人、工作與 Apple 帳號相關信箱，仍可能受到影響。目前還不清楚哪些 macOS 版本會中招，也沒有證據顯示 iPhone 或 iPad 上的 Mail 是否同樣存在相同行為。