도메인 문자열 하나가 Apple 자체 개인정보보호 기능을 무의미하게 만들 뻔했다. Hide My Email은 iCloud+에서 제공하는 서비스로, 작동 원리는 단순하다. 웹사이트 입장에서는 수신한 이메일 주소가 사용자 본인의 실제 주소인지, 시스템이 무작위로 생성한 대체 주소인지 구별할 수 없다. 이 '구별 불가능함'이야말로 이 기능 전체의 존재 가치다.
지난 6월 Apple은 새로 생성되는 Hide My Email 주소를 기존 @icloud.com 대신 @private.icloud.com 도메인으로 바꾸겠다고 밝힌 바 있다. 문제는 웹사이트가 @private.icloud.com이라는 접미사를 확인하는 순간, 이것이 사용자의 실제 이메일이 아니라 익명 전달용 이메일이라는 사실을 즉시 알아챌 수 있다는 점이었다. 사용자 신원 추적에 민감한 많은 웹사이트에게 이런 정보 격차는 상당한 가치를 지닌다. 특정 사용자와 연결 지을 수 있는 이메일이 신원을 알 수 없는 이메일보다 훨씬 유용하기 때문에, 해당 도메인에서의 가입을 차단하거나 거부하는 방식은 충분히 예상 가능한 시나리오였다.
Apple은 월요일 공식 홈페이지의 개발자 안내를 통해 이번 변경을 철회한다고 발표했다. 발표는 별도의 상세 설명 없이 개발자 참고 사항 형태로 공지됐다. Daring Fireball의 John Gruber는 Hide My Email 팀 내부 직원들이 이 변경안에 "강하게 반대"했다고 보도했으며, Reddit에서도 사용자들의 비슷한 반응이 나온 바 있다. Apple이 왜 마음을 바꿨는지보다 더 궁금한 점은, 애초에 이 계획이 어떻게 통과됐느냐는 것일지도 모른다.
모든 이메일 주소가 그대로 유지되는 것은 아니다. Apple의 이메일 전달 시스템 중 일부는 여전히 새로운 @private.icloud.com 도메인을 사용하게 된다. Sign in with Apple로 생성된 신규 주소는 올해 하반기 중 이 도메인으로 이전될 예정이다. 이 경우는 개인정보 문제가 되지 않는데, 웹사이트 측에서는 사용자가 Sign in with Apple을 통해 로그인했다는 사실을 이미 알고 있는 상태이기 때문에 '위장 신원이 들통나는' 문제 자체가 발생하지 않기 때문이다.
Hide My Email이 올해 도마 위에 오른 것은 이번이 처음이 아니다. 앞서 Apple은 Hide My Email로 가려진 실제 이메일 주소를 볼 수 있게 만드는 취약점을 패치한 바 있다. 보도에 따르면 Apple은 이 취약점을 최소 1년 전부터 인지하고 있었으나, 404 Media의 보도로 주목받은 뒤에야 수정을 완료했다.
