Il problema riguarda iCloud Private Relay, il servizio pensato per rendere più difficile il tracciamento online. La vicenda, raccontata da 404 Media e ripresa da Giga.de il 6 agosto 2026, tocca uno dei punti più delicati della promessa privacy di Apple. E c’è un dettaglio che pesa: la falla può comparire proprio quando si usa il login con Passkey, il sistema di accesso considerato più sicuro delle password tradizionali.
La promessa di iCloud Private Relay è chiara: quando si naviga con Safari, il servizio dovrebbe separare l’identità dell’utente dal sito visitato, nascondendo l’indirizzo IP reale. Così, almeno sulla carta, diventa più difficile ricostruire posizione, abitudini e spostamenti online. Secondo Bakry e Mysk, però, in alcune situazioni questa protezione salta.
Il sito o il servizio contattato può vedere l’IP reale dell’utente, invece di quello filtrato da Private Relay. Non sarebbe un caso raro né legato a impostazioni particolari: il comportamento può presentarsi anche su dispositivi aggiornati e in usi normali, soprattutto quando entrano in gioco i sistemi di accesso più recenti.
Apple ha confermato di aver ricevuto la segnalazione e di aver avviato controlli interni, ma non ha ancora indicato quando arriverà una correzione. Ed è questo a preoccupare gli esperti: in passato, ricordano i ricercatori, alcune falle legate ai servizi privacy di Apple hanno richiesto mesi prima di essere chiuse.
Perché il login con Passkey può aggirare la protezione di Safari
Il punto più delicato riguarda il login con Passkey. È la tecnologia che permette di entrare in un account senza digitare una password, usando chiavi crittografiche legate al dispositivo e confermate con Face ID, Touch ID o codice di sblocco. Un sistema pensato per ridurre furti di credenziali, phishing e riuso delle password.
Eppure, proprio durante questa procedura, secondo Bakry e Mysk, può aprirsi il varco: in alcuni casi la richiesta fatta durante l’autenticazione non passa correttamente da iCloud Private Relay e finisce per rivelare l’indirizzo IP reale al servizio che riceve il login. Non risulta, dalle informazioni disponibili, un furto diretto di password o un accesso abusivo agli account.
Il rischio è un altro: chi pensa di navigare con l’IP mascherato potrebbe invece essere riconoscibile attraverso la rete da cui si collega. Per chi usa Private Relay per limitare il tracciamento pubblicitario o tenere più separata identità e navigazione, non è un dettaglio da poco.
WebKit, il nodo che può coinvolgere tutti i browser su iPhone e iPad
La causa tecnica, spiegano i ricercatori, non sarebbe dentro iCloud Private Relay in senso stretto, ma più a fondo: nella gestione affidata a WebKit, il motore browser sviluppato da Apple. È un passaggio importante, perché su iPhone e iPad tutti i browser devono basarsi su WebKit per mostrare le pagine e gestire molte funzioni web.
In pratica, il problema non riguarda solo chi usa Safari. Anche chi apre i siti con browser alternativi su iOS e iPadOS potrebbe esporsi allo stesso comportamento, perché la base tecnica resta quella dell’ecosistema Apple. Cambiare app, quindi, potrebbe non bastare.
È anche per questo che la vicenda è delicata per Cupertino, che da anni lega una parte forte della propria immagine alla privacy degli utenti, tra campagne pubblicitarie, strumenti anti-tracciamento e servizi integrati in iCloud. Ma nei sistemi complessi basta un ingranaggio fuori posto perché la protezione perda forza.
Cosa possono fare gli utenti in attesa della correzione di Apple
In attesa di un aggiornamento ufficiale, gli utenti possono muoversi con prudenza, senza allarmismi. La prima cosa da fare è tenere iPhone, iPad e app aggiornati all’ultima versione disponibile: se Apple rilascerà una patch, con ogni probabilità passerà da un update di iOS, iPadOS o dei componenti legati a Safari e WebKit.
Chi usa iCloud Private Relay per esigenze più sensibili dovrebbe evitare di considerarlo una protezione assoluta. È uno strumento utile, ma non sostituisce soluzioni pensate per casi in cui l’anonimato della rete è decisivo. I ricercatori hanno anche pubblicato una pagina di test per verificare l’eventuale esposizione dell’indirizzo IP; vale però la solita cautela: meglio usare solo risorse riconducibili agli autori della ricerca o a fonti tecniche affidabili.
La lezione, per ora, è semplice: anche un sistema chiuso e controllato come quello Apple può avere zone d’ombra. Private Relay riduce il tracciamento, ma non garantisce copertura in ogni situazione. Fino alla correzione, meglio non affidarsi a un solo livello di difesa, soprattutto quando si usano insieme Safari, Passkey e servizi che trattano dati personali.
