Kinderleicht konnte jedermann die echten E-Mail-Adressen herausfinden, die Apples Dienst „Hide my E-Mail” (E-Mail-Adresse verbergen) eigentlich verbergen sollte. Es reichte, eine so deutlich als Spam zu erkennende Mitteilung an die Alias-Adresse zu senden, dass Apples Server sie zurückwies. Und die Zurückweisung (Englisch bounce) nannte die echte, eigentlich zu versteckende E-Mail-Adresse. Deren Inhaber bekam von all dem nichts mit. Apple wusste das mehr als ein Jahr lang, scheiterte aber mehrmals an der Korrektur.
Erst nach Berichten durch 404 Media sowie in der Folge heise online und anderen Medien stopfte Apple die Datensicherheitslücke Anfang Juli. Doch die Entdecker des Fehlers, Ben und Tyler Murphy, weisen darauf hin, dass alle vor 7. Juli eingerichteten Alias-Adressen aufgedeckt worden sein können. Die Gebrüder Murphy sind Gründer des Dienstes Easy Opt Outs.
Nach eigenen Angaben haben die Murphys am 11. Juni 2025 Apple über das Problem mangelnder Datensicherheit informiert. Weitere Informationen folgten am 13. und 20. Juni, eine weitere Variante wurde am 9. Juli 2025 gemeldet. Am 14. Juli 2025 kündigte Apple demnach an, die Sache zu prüfen. Es dauerte so lange wie eine menschliche Schwangerschaft, bis der Konzern am 3. März 2026 verkündete, den Fehler bereinigt zu haben.
