애플, 하이드 마이 이메일 주소 유출 결함 신고 1년 만에 패치

애플이 아이클라우드+(iCloud+)의 프라이버시 기능 ‘하이드 마이 이메일(Hide My Email)’에서 실제 이메일 주소가 노출되는 보안 결함을 뒤늦게 고쳤다. 나인투파이브맥(9to5Mac)과 맥루머스(MacRumors)는 7월 21일(현지시각) 애플이 이 결함에 대한 패치를 7월 3일(현지시각) 배포해 문제를 완전히 해결했다고 밝혔다고 전했다. 이 결함은 앞서 404미디어(404 Media)가 보도하며 알려졌다. 문제가 처음 신고된 시점은 2025년 6월로, 애플이 실질적으로 문제를 해결하기까지 1년 넘게 걸린 셈이다. 애플은 이번 결함으로 소비자 보호법 위반 소송까지 제기된 상태다.

스팸으로 반송된 메일이 이메일 주소를 흘렸다

하이드 마이 이메일은 애플이 아이클라우드+와 애플원(Apple One) 구독자에게 제공하는 기능이다. 무작위 이메일 주소를 생성해 실제 주소 대신 웹사이트 가입이나 뉴스레터 신청에 사용할 수 있게 해준다. 애플 웹사이트 설명에 따르면 이 주소로 온 메일은 자동으로 사용자의 실제 편지함으로 전달되고, 답장도 가능하다.

맥루머스에 따르면 이 기능에는 오랫동안 결함이 있었다. 하이드 마이 이메일 이용자에게 메일을 보냈을 때 해당 메일이 스팸으로 분류돼 반송(bounce)되면, 반송 로그에 이용자의 실제 이메일 주소가 그대로 노출됐다. 정상적으로 보낸 메일이라도 수신 측 스팸 필터에 자동으로 거부되기만 하면 발생할 수 있는 문제였다.

신고 후 1년, 애플의 “고쳤다”는 두 번 거짓이었다

이 결함을 처음 애플에 신고한 인물은 이지옵트아웃츠(EasyOptOuts) 공동창업자 타일러 머피(Tyler Murphy)다. 맥루머스에 따르면 머피는 2025년 6월 애플에 문제를 알렸다. 애플은 조사 중이라고 답했다가 이후 문제를 해결했다고 밝혔지만, 머피가 다시 확인해보니 결함은 그대로 남아 있었다.

애플은 2026년 3월에도 머피에게 문제가 해결됐다고 알렸다. 그러나 이 역시 사실이 아니었다. 이후 몇 달 동안 애플은 다시 문제를 살펴보고 있다는 답변만 반복했고, 머피는 애플이 실제로 문제를 고칠지 확신할 수 없었다. 결국 머피는 404미디어에 이 사실을 알렸고, 404미디어가 이를 공개적으로 보도하자 애플은 비로소 7월 3일(현지시각) 패치를 배포했다. 애플은 404미디어에 이 패치로 문제가 완전히 해결됐다고 밝혔다.

“패치됐지만 위험은 끝나지 않았다”

404미디어는 결함이 더는 악용될 수 없다는 점을 확인한 뒤 구체적인 작동 방식을 공개했다. 머피와 이지옵트아웃츠 공동창업자 벤 와이너(Ben Weiner)는 공동 성명에서 “하이드 마이 이메일이 발신자에게 숨겨진 이메일 주소를 유출시킨 버그는 고쳐졌다”면서도 “이용자에게 남은 위험이 사라졌다고 보지는 않는다”고 밝혔다.

두 사람은 “악의 없는 메일도 반송되면서 숨겨진 이메일 주소를 노출할 수 있고, 메일 전송 로그는 대체로 장기간 보관되기 때문”이라고 설명했다. 이들은 “2026년 7월 7일 이전에 생성된 하이드 마이 이메일 주소와 연결된 실제 이메일 주소는 노출됐을 가능성이 있고, 지금도 제3자의 로그에 남아 있을 수 있다고 추정한다”고 덧붙였다. 또 “하이드 마이 이메일 주소가 얼마나 자주 로그에 유출됐는지는 알 수 없다”면서 “주요 이메일 호스트 다수에서는 정상적인 메일이 스팸으로 자동 거부되기만 해도 유출이 발생했고, 이런 메일은 대개 편지함에 도달하지 않아 스팸 폴더를 확인해도 피해 여부를 알기 어렵다”고 지적했다.

소비자 보호법 위반 소송으로 번져

애플은 이 결함과 관련해 이미 소송을 당한 상태다. 맥루머스에 따르면 원고 측은 집단소송(class action) 지위를 인정받으려 하고 있다. 소송에서는 애플이 하이드 마이 이메일이 광고한 대로 작동하지 않는다는 사실을 알고 있었음에도 방치했다며, 캘리포니아주 허위광고금지법과 기타 소비자보호법을 위반했다고 주장한다.

이번 사안은 유료 프라이버시 기능을 둘러싼 신뢰 문제로도 이어진다. 결함이 신고된 뒤에도 애플이 두 차례나 “해결됐다”고 밝혔다가 실제로는 방치했던 사실이 드러난 만큼, 이용자로서는 패치 이전에 생성한 하이드 마이 이메일 주소가 여전히 외부 로그에 남아 있을 수 있다는 점을 감안할 필요가 있다.