Apple, E-Posta Gizleme Özelliğindeki Güvenlik Açığını Bir Yıl Sonra Kapattı
Apple, iCloud+ abonelerine sunduğu e-posta gizleme özelliğinde kullanıcıların gerçek e-posta adreslerinin açığa çıkmasına neden olan güvenlik açığını yaklaşık bir yıl sonra giderdi. E-posta gizleme güvenlik açığı, anonim adres kullanan bazı kişilerin gerçek e-posta bilgilerinin belirli durumlarda karşı tarafa sızmasına yol açıyordu. Şirket, sorunun 3 Temmuz’da yayınlanan güncellemeyle düzeltildiğini açıklarken güvenlik araştırmacıları geçmişte oluşan kayıtlar nedeniyle bazı kullanıcılar için riskin devam edebileceği uyarısında bulundu.
Güvenlik Açığı İlk Kez 2025 Yılında Bildirildi
EasyOptOut kurucu ortağı Tyler Murphy, güvenlik açığını Haziran 2025’te Apple’a bildirdi. Araştırmacıya göre Apple, geçen süre içinde sorunun çözüldüğünü birkaç kez ifade etmesine rağmen güvenlik açığı tamamen ortadan kaldırılamadı. Konunun basına yansımasının ardından şirket yeniden inceleme başlattı ve nihayet kalıcı düzeltmeyi yayınladı.
Apple’ın iCloud+ hizmetine dahil ettiği e-posta gizleme özelliği, kullanıcıların gerçek adreslerini paylaşmadan rastgele oluşturulan anonim e-posta adresleriyle hesap açmasına veya iletişim kurmasına imkân tanıyor. Böylece kullanıcıların kişisel e-posta adresleri üçüncü taraf hizmetlerle paylaşılmadan gizli kalabiliyor.
Güvenlik araştırmalarına göre sorun, bazı e-postaların spam olarak otomatik reddedildiği durumlarda ortaya çıkıyordu. Bu süreçte gerçek e-posta adresi, gönderici tarafındaki günlük kayıtlarında görülebiliyordu. Güvenlik nedeniyle ilk haberlerde açığın nasıl çalıştığı paylaşılmazken daha sonra sızıntının spam filtreleme mekanizması sırasında gerçekleştiği doğrulandı.
Araştırmacılar, bu durumun yalnızca kötü niyetli saldırılarla sınırlı olmadığını, normal e-postaların da aynı süreç nedeniyle reddedilebildiğini belirtiyor. Bu nedenle kullanıcılar gelen kutularında herhangi bir sorun görmese bile gerçek e-posta adresleri üçüncü taraf sistem kayıtlarına işlenmiş olabiliyordu.
Tyler Murphy ile EasyOptOut kurucu ortağı Ben Weiner, Apple’ın yayınladığı güncellemenin yeni sızıntıları engellediğini ancak geçmiş kayıtların silinmediğini ifade etti. Araştırmacılara göre 7 Temmuz 2026 tarihinden önce oluşturulan anonim adresler, farklı e-posta sunucularındaki günlük kayıtlarında bulunuyor olabilir. Bu nedenle geçmişte oluşturulan bazı anonim hesapların gerçek adresleri daha önce açığa çıkmış olabilir.
Apple ise 3 Temmuz’da yayınlanan güvenlik düzeltmesinin ardından saldırganların artık e-posta gizleme özelliğini kullanarak gerçek adresleri ortaya çıkaramayacağını belirtiyor. Olay, gizlilik odaklı hizmetlerde yalnızca yazılım güncellemelerinin değil, geçmişte oluşan sistem kayıtlarının da kullanıcı güvenliği açısından önemli olduğunu bir kez daha gösteriyor.
