สรุปสั้น
บริษัท Apple ได้ดำเนินการแก้ช่องโหว่ด้านความปลอดภัยในบริการ Hide My Email ที่เปิดช่องให้อีเมลจริงของผู้ใช้ถูกถอดหน้ากากออกมาได้ ซึ่งบ่อนทำลายการรับประกันความเป็นส่วนตัวที่เป็นหัวใจของฟีเจอร์นี้โดยตรง เว็บไซต์ 404 Media รายงานว่า Apple ปล่อยแพตช์แก้ปัญหาเมื่อวันที่ 3 กรกฎาคม 2569 หลังจากปล่อยค้างมานานกว่าหนึ่งปีนับจากที่นาย Tyler Murphy ผู้ร่วมก่อตั้งบริษัท EasyOptOuts แจ้งให้บริษัททราบ โดย Hide My Email เป็นฟีเจอร์ที่สร้างที่อยู่อีเมลแบบสุ่มขึ้นมาไม่ซ้ำกันเพื่อส่งต่อข้อความไปยังกล่องอีเมลส่วนตัวของผู้ใช้โดยอัตโนมัติ แนวคิดคือใช้ที่อยู่อีเมลแบบใช้แล้วทิ้งเพื่อปกป้องความเป็นส่วนตัวและลดสแปม ฟีเจอร์นี้ต้องสมัครสมาชิก iCloud+ แบบเสียเงิน และ Apple เปิดตัวมาตั้งแต่เดือนมิถุนายน 2564
หัวใจของปัญหาคือ เพียงแค่ส่งข้อความไปยังผู้ใช้ Hide My Email ที่เจาะจงแล้วข้อความนั้นถูกปฏิเสธในฐานะสแปม อีเมลจริงของบุคคลนั้นก็จะปรากฏขึ้นใน email log ทันที ที่น่ากังวลคือการรั่วไหลถูกกระตุ้นเพียงจากการที่อีเมลถูกปฏิเสธอัตโนมัติว่าเป็นสแปม แม้จะเป็นข้อความที่ถูกต้องตามกฎหมายก็ตาม และอีเมลเหล่านั้นมักไปไม่ถึงกล่องขาเข้า ทำให้ผู้ใช้ไม่สามารถย้อนตรวจโฟลเดอร์สแปมเพื่อรู้ว่าตนได้รับผลกระทบหรือไม่ แม้บั๊กจะได้รับการแก้ไขแล้ว แต่ก็เป็นไปได้ว่าอีเมลจริงที่ผูกกับที่อยู่ Hide My Email ที่สร้างก่อนวันที่ 7 กรกฎาคม 2569 อาจถูกเก็บไว้ใน mail transfer log แล้วในช่วงที่อีเมลไม่ประสงค์ร้ายถูกตีกลับ
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กรกฎาคม 2569 ว่า บริษัท Apple ได้เคลื่อนไหวเพื่อจัดการช่องโหว่ในบริการ Hide My Email ที่ทำให้อีเมลจริงของผู้ใช้ที่ซ่อนอยู่หลังที่อยู่ Hide My Email ถูกเปิดเผยได้
ตามรายงานของ 404 Media ที่เผยแพร่เมื่อวันอังคาร Apple ปล่อยแพตช์แก้ไขเมื่อวันที่ 3 กรกฎาคม 2569 หลังจากได้รับแจ้งปัญหาจากนาย Tyler Murphy ผู้ร่วมก่อตั้งบริษัท EasyOptOuts เป็นครั้งแรกตั้งแต่วันที่ 13 มิถุนายน 2568 โดย Apple เคยพยายามแก้ไขไม่สำเร็จมาแล้วในเดือนมีนาคมก่อนหน้านี้ และอีกครั้งเมื่อวันที่ 30 มิถุนายน 2569 ก่อนจะแก้ได้สำเร็จในที่สุด แม้ในช่วงแรกจะมีการปกปิดรายละเอียดของปัญหาเพื่อหลีกเลี่ยงการถูกนำไปใช้โจมตี แต่หลังจากอุดช่องโหว่ได้แล้วจึงมีการเปิดเผยรายละเอียดเพิ่มเติมออกมา
นาย Murphy และนาย Ben Weiner ผู้ร่วมก่อตั้ง EasyOptOuts กล่าวกับ 404 Media ว่า “เราไม่รู้ว่าที่อยู่อีเมลที่ซ่อนไว้รั่วไหลใน email log บ่อยแค่ไหน สำหรับผู้ให้บริการอีเมลรายใหญ่หลายราย การรั่วไหลถูกกระตุ้นเพียงจากการที่อีเมลถูกปฏิเสธอัตโนมัติว่าเป็นสแปม แม้จะเป็นข้อความที่ถูกต้องก็ตาม อีเมลเหล่านั้นน่าจะไปไม่ถึงกล่องขาเข้าของคุณ ดังนั้นคุณจึงตรวจโฟลเดอร์สแปมเพื่อรู้ว่าได้รับผลกระทบหรือไม่ไม่ได้”
ความเคลื่อนไหวนี้เกิดขึ้นในขณะที่ Apple กำลังเผชิญกับคดีฟ้องร้องแบบกลุ่ม (class action) ที่กล่าวหาว่าบริษัททำให้ลูกค้าเข้าใจผิดเกี่ยวกับความเป็นส่วนตัวของฟีเจอร์ Hide My Email ในขณะที่คิดเงินค่าบริการ คำฟ้องระบุว่า “Apple สัญญาว่า Hide My Email เป็นฟีเจอร์ความเป็นส่วนตัวที่ลูกค้าจ่ายเงินซื้อ ไม่ว่าโดยตรงผ่าน iCloud+ หรือโดยอ้อมผ่านการนำเสนอเรื่องความเป็นส่วนตัวทั่วทั้งผลิตภัณฑ์ของ Apple แต่กลับไม่ส่งมอบตามนั้น” และยังกล่าวว่า Apple รับรู้ปัญหานี้มากว่าหนึ่งปีแต่ไม่แก้ไข ทั้งไม่เคยปิดหรือหยุดใช้ Hide My Email ไม่เตือนลูกค้าถึงช่องโหว่ และไม่แก้ไขการนำเสนอเรื่องความเป็นส่วนตัวเลยตลอดช่วงเวลาดังกล่าว
รายละเอียดช่องโหว่
ช่องโหว่นี้อยู่ที่กลไกการส่งต่ออีเมลของ Hide My Email เมื่อมีข้อความส่งไปยังที่อยู่ปลอมที่ระบบสร้างขึ้น หากข้อความนั้นถูกระบบปลายทางปฏิเสธในฐานะสแปม กระบวนการตีกลับ (bounce) จะทำให้ที่อยู่อีเมลจริงที่ผูกกับที่อยู่ปลอมปรากฏขึ้นใน mail log แทนที่จะยังคงถูกปกปิดไว้ จุดที่ทำให้ปัญหารุนแรงคือการรั่วไหลไม่จำเป็นต้องอาศัยอีเมลประสงค์ร้าย เพราะแม้แต่อีเมลปกติที่บังเอิญถูกตัวกรองสแปมปฏิเสธก็กระตุ้นการรั่วได้ ทำให้ผู้โจมตีที่ต้องการถอดหน้ากากเป้าหมายเพียงส่งอีเมลที่จงใจให้ถูกจัดเป็นสแปมไปยังที่อยู่ Hide My Email แล้วไปดึงที่อยู่จริงจาก log ผลคือฟีเจอร์ที่ออกแบบมาเพื่อกันการเชื่อมโยงตัวตนกลับเปิดเผยตัวตนเสียเอง และเนื่องจากที่อยู่จริงอาจถูกบันทึกไว้ใน mail transfer log ตั้งแต่ก่อนแพตช์ ข้อมูลที่รั่วไปแล้วจึงอาจยังคงอยู่ในมือผู้ที่เก็บ log เหล่านั้น
ผลกระทบต่อไทย
ผู้ใช้ผลิตภัณฑ์ Apple ในไทยที่สมัคร iCloud+ และใช้ Hide My Email เพื่อปกปิดอีเมลจริงเมื่อสมัครบริการต่าง ๆ หรือรับจดหมายข่าว มีความเสี่ยงที่อีเมลจริงอาจถูกเปิดเผยหากที่อยู่ปลอมถูกสร้างก่อนวันที่ 7 กรกฎาคม 2569 โดยเฉพาะผู้ที่ใช้ฟีเจอร์นี้เพื่อแยกตัวตนออกจากบริการที่ไม่น่าไว้ใจ หรือผู้ที่ต้องการความเป็นส่วนตัวสูงเป็นพิเศษ เช่น นักข่าว นักเคลื่อนไหว หรือผู้ที่กังวลเรื่องการถูกสะกดรอย แม้ Apple จะแก้ไขแล้วและช่องโหว่ไม่เปิดทางให้เข้าถึงเนื้อหาอีเมลหรือรหัสผ่าน แต่การที่อีเมลจริงหลุดไปก็เพิ่มความเสี่ยงต่อการถูกเชื่อมโยงตัวตน สแปม และการโจมตีแบบฟิชชิงที่เจาะจงเป้าหมายมากขึ้น
คำแนะนำ
ผู้ใช้ Hide My Email ควรอัปเดตอุปกรณ์ Apple ให้เป็นเวอร์ชันล่าสุดเพื่อรับแพตช์ และพิจารณาสร้างที่อยู่ Hide My Email ใหม่สำหรับบริการที่อ่อนไหว เนื่องจากที่อยู่ที่สร้างก่อนวันที่ 7 กรกฎาคม 2569 อาจมีอีเมลจริงถูกบันทึกไว้ใน log แล้ว หากพบว่าเริ่มได้รับสแปมหรืออีเมลฟิชชิงที่ส่งตรงมายังอีเมลจริงที่เคยปกปิดไว้ ควรระมัดระวังเป็นพิเศษและตรวจสอบว่ามีการเชื่อมโยงบัญชีผิดปกติหรือไม่ ผู้ที่ต้องการความเป็นส่วนตัวสูงควรใช้อีเมลนามแฝงร่วมกับมาตรการอื่น เช่น เปิดใช้การยืนยันตัวตนสองชั้น (2FA) และไม่พึ่งพาการปกปิดอีเมลเพียงอย่างเดียวในการป้องกันการเชื่อมโยงตัวตน