애플 '내 이메일 가리기' 취약점으로 실제 이메일 노출
애플 iCloud+의 '내 이메일 가리기(Hide My Email)' 기능에서 실제 이메일 주소가 쉽게 노출되는 심각한 취약점이 발견되었습니다. 보안 연구자는 1년 넘게 애플에 이를 보고했음에도 여전히 해결되지 않아 사용자들의 개인정보 보호에 큰 위협이 되고 있습니다.
보안 연구자의 지적과 404 Media의 직접적인 테스트 결과에 따르면, 애플의 '내 이메일 가리기(Hide My Email)' 도구에 있는 취약점으로 인해 누구나 이 기능을 통해 숨겨져 있어야 할 사용자의 실제 이메일 주소를 쉽게 알아낼 수 있는 것으로 확인됐습니다. 그러나 애플은 1년이 넘는 시간 동안 이 문제를 해결하지 않고 있습니다. 404 Media는 404 Media 소속의 숨겨진 이메일 주소로 해당 문제를 검증한 이번 주 월요일 현재 취약점이 여전히 악용될 수 있기 때문에, 취약점의 정확한 세부 사항은 공개하지 않기로 했습니다.
이 문제를 발견하고 애플에 보고했던 EasyOptOuts의 공동 창립자 타일러 머피(Tyler Murphy)는 404 Media에 다음과이 전했습니다. "애플의 '내 이메일 가리기' 기능이 숨겨져야 할 이메일 주소를 유출하고 있습니다. 우리는 1년이 넘게 전에 이 문제와 재현 방법을 애플에 보고했습니다. 왜 아직 수정되지 않았는지는 모르겠지만, 더 이상 기다리는 것은 옳지 않다고 판단했습니다. '내 이메일 가리기' 사용자들은 공격자가 자신의 숨겨진 이메일 주소를 찾아낼 수 있다는 사실을 알 권리가 있습니다." 그는 또한 "무료이자 누구나 접근할 수 있는 인물 검색 사이트들을 통해 이메일 주소와 다른 개인정보를 쉽게 연결할 수 있기 때문에, 개인정보 보호를 위해 이 기능에 의존하는 사람들은 위험에 처할 수 있다"고 덧붙였습니다.
💡 이와 유사한 다른 개인정보 보호 문제를 알고 계신가요? 여러분의 제보를 기다립니다. 업무용 기기가 아닌 개인 기기를 이용해 Signal(joseph.404)로 안전하게 메시지를 보내거나 이메일(joseph@404media.co)을 보내주시면 됩니다.
'내 이메일 가리기'는 애플의 유료 서비스인 iCloud+의 기능 중 하나입니다. 사용자가 익명 이메일 주소를 생성할 수 있게 해주어, 개인 이메일 대신 서비스 가입이나 타인과의 이메일 교환 시 사용할 수 있습니다. 이 이메일 주소는 보통 무작위의 두 단어와 숫자로 구성되어 있으며 @icloud.com 도메인으로 끝납니다. 이 기능은 스팸을 줄이거나, 개인 주소 및 본인 신원과 연결되는 것을 원하지 않는 계정을 생성하거나, 나중에 데이터 유출 사고를 겪을 수 있는 사이트에 개인정보를 맡기지 않는 등 다양한 이유로 유용합니다. 예를 들어, 필자 개인만 해도 이 기능을 통해 400개 이상의 이메일 주소를 생성해 사용하고 있습니다.
문제를 테스트하기 위해 나는 새로운 '내 이메일 가리기' 주소를 생성하여 머피에게 제공했습니다. 약 5분 후, 그는 숨겨져 있어야 할 나의 애플 계정 실제 이메일 주소를 답장으로 보내왔습니다. 머피는 "이 문제의 전체 범위는 알 수 없지만, 자원봉사자들과 제한적으로 진행한 테스트에서 100%의 '내 이메일 가리기' 주소가 취약점 악용의 대상이 될 수 있었다"고 밝혔습니다.
머피가 404 Media와 공유한 애플과의 메시지에 따르면, 그는 2025년 6월에 처음으로 이 문제를 애플에 보고했습니다. 한 달 후, 애플은 답장을 통해 이 문제를 조사 중이라고 밝혔습니다. 올해 3월에는 애플이 "최근 시스템 변경을 통해 보고된 문제를 해결했다"고 통보했습니다. 하지만 머피는 문제가 해결되지 않았음을 발견했습니다. 그가 추가 정보를 제공하자, 애플은 그 달 말에 다시 조사 중이라고 밝혔습니다. 5월에도 애플은 여전히 조사 중이라고 답했습니다.
애플은 5월에 다음과 같이 적었습니다. "저희는 이 문제를 계속 조사 중입니다. 고객을 위험에 빠뜨리지 않기 위해, 저희의 조사가 완료될 때까지 이 정보를 공개하지 않아 주시면 감사하겠습니다. 저희 제품의 보안을 유지하고 개선하는 데 도움을 주셔서 감사합니다." 이에 머피는 "문제가 해결될 때까지 '내 이메일 가리기'의 신규 판매를 중단하는 것이 위험에 처한 고객의 수를 제한하는 효과적인 방법이 될 것 같습니다. 그 방법을 고려할 수 있습니까?"라고 답장했습니다. 5월 말, 애플은 "향후 몇 주 내로 예정된 보안 업데이트를 통해 이 문제를 해결할 계획"이라고 밝혔습니다.
그러나 이번 주 월요일, 머피는 404 Media에 연락해 문제의 세부 정보와 성명을 제공하며 다음과 같이 말했습니다. "왜 아직 해결되지 않았는지는 모르겠지만, 더 이상은 기다릴 수 없었습니다." 애플은 404 Media의 여러 차례 코멘트 요청에 응답하지 않았습니다. 6월에는 TechCrunch가 애플이 '내 이메일 가리기' 기능의 효율성을 크게 떨어뜨리는 변경을 가할 계획이라고 보도했습니다. 생성되는 이메일 주소의 도메인을 @icloud.com에서 @private.icloud.com으로 변경할 예정인데, 이는 웹사이트나 서비스 제공자들이 해당 이메일 주소를 사용한 가입을 더 쉽게 차단할 수 있음을 의미합니다.