Apple sta analizzando una segnalazione che mette in discussione una delle promesse centrali di iCloud Private Relay: nascondere l’indirizzo IP reale durante la navigazione. Secondo i ricercatori che hanno pubblicato il report il 6 agosto 2026, alcune funzioni di WebKit possono aggirare il percorso protetto del traffico e far emergere l’IP del dispositivo.
Per chi usa iPhone, iPad o Mac in azienda la notizia conta perché non riguarda un dettaglio tecnico isolato: interessa il livello di riservatezza della navigazione web su dispositivi Apple, anche quando è attivo un servizio pensato proprio per aumentare la privacy.
Che cosa è successo
La segnalazione riguarda iCloud Private Relay, funzione inclusa in iCloud+ e introdotta da Apple con iOS 15. Il suo obiettivo è impedire che un singolo soggetto possa sapere contemporaneamente chi sta navigando e quali siti visita. Per farlo, il traffico Safari passa attraverso un’architettura a doppio inoltro: in pratica il percorso viene spezzato in due passaggi distinti per ridurre la tracciabilità dell’utente.
Il nuovo report sostiene però che questa protezione può essere aggirata in alcuni casi. I ricercatori Talal Haj Bakry e Tommy Mysk hanno individuato tre comportamenti di WebKit che, invece di rispettare il proxy configurato, invierebbero traffico direttamente dal dispositivo. Quando succede, il sito o il servizio raggiunto può vedere l’indirizzo IP reale dell’utente.
Apple, secondo quanto riportato dalle fonti, non ha rilasciato subito un commento pubblico dettagliato, ma avrebbe confermato a 404 Media di essere al lavoro per verificare la segnalazione.
Perché il problema riguarda WebKit, non solo Safari
Il punto chiave è che WebKit non è soltanto il motore di Safari. Su iOS e iPadOS è anche la base tecnica obbligata per i browser di terze parti come Chrome, Edge, Firefox, Brave e altri. Questo significa che l’impatto potenziale non si limita al browser Apple in senso stretto.
Le fonti indicano inoltre che il problema interessa anche macOS e, più in generale, i browser basati su WebKit che si affidano alle API di configurazione del proxy del motore.
Tradotto in termini pratici: se l’anomalia è confermata nei termini descritti dai ricercatori, non basta cambiare icona del browser sul dispositivo Apple per essere automaticamente al riparo. In alcuni scenari la componente comune resta la stessa.
Quali funzioni possono far trapelare l’IP reale
La ricerca cita tre meccanismi specifici.
Il primo è il DNS prefetching. Serve ad anticipare la risoluzione dei nomi dei siti per velocizzare il caricamento delle pagine. Secondo i ricercatori, questa risoluzione può avvenire tramite il normale percorso DNS del dispositivo invece che attraverso il proxy previsto dal browser.
Il secondo è WebAuthn Related Origin Requests. WebAuthn è lo standard web usato, tra le altre cose, per l’accesso con passkey. In questo caso il sistema operativo potrebbe recuperare direttamente dal dispositivo un file di validazione necessario al processo, saltando il proxy.
Il terzo è WebTransport, una tecnologia pensata per aprire connessioni moderne e a bassa latenza via HTTP/3. Anche qui, secondo il report, la connessione può essere stabilita direttamente, esponendo l’IP reale.
L’aspetto più delicato è quello legato a WebAuthn. I ricercatori affermano che un sito che dichiara il supporto a questo standard potrebbe essere configurato in modo da ottenere l’IP reale dell’utente anche con Private Relay attivo. Sempre secondo la loro analisi, non servirebbe interazione da parte dell’utente e non sarebbe nemmeno necessario usare davvero le passkey durante quella sessione.
Quanto è grave, in concreto
È importante non confondere questo problema con una compromissione totale del dispositivo. Non stiamo parlando, in base alle fonti disponibili, di esecuzione di codice o furto automatico di dati aziendali. Il punto è un altro: una funzione di tutela della privacy può non mantenere sempre la separazione promessa tra identità di rete e sessione web.
Per molte organizzazioni questo non è un dettaglio marginale. L’indirizzo IP può essere usato per correlare attività, area geografica approssimativa, rete di provenienza e altre informazioni utili al tracciamento. In certi contesti può anche contribuire ad associare una sessione apparentemente protetta a un utente, a una sede o a una rete aziendale specifica.
Va anche notato un elemento di contesto: i ricercatori hanno messo a disposizione un sito dimostrativo per verificare l’eventuale perdita dell’IP reale. Hanno inoltre precisato che non tutti i browser sono colpiti nello stesso modo e che il problema risulta mitigato quando l’utente è connesso a una VPN.
Questo ridimensiona il rischio operativo immediato, ma non lo annulla. Se una misura di privacy dipende da implementazioni browser e servizi di sistema, il comportamento reale sul dispositivo diventa più importante del messaggio commerciale della funzione.
Non è il primo campanello d’allarme
Le fonti ricordano che non è la prima volta che iCloud Private Relay viene associato a limiti o falle sul piano della privacy. Poco dopo il lancio della funzione nel 2021, FingerprintJS aveva evidenziato un meccanismo basato su WebRTC capace di far emergere l’IP reale del client.
Inoltre, poco più di un mese prima di questa nuova disclosure, Apple aveva corretto un’altra vulnerabilità che riguardava Hide My Email e che, in determinate condizioni, permetteva di risalire al vero indirizzo email dell’utente.
Il quadro che emerge non è quello di una tecnologia inutile, ma di uno strumento che va interpretato correttamente: utile per migliorare la privacy, non sufficiente da solo come garanzia assoluta.
Cosa significa per la tua azienda
Per una PMI italiana il messaggio più utile è semplice: non considerare iCloud Private Relay come un controllo di sicurezza aziendale, ma come una funzione aggiuntiva di tutela della privacy dell’utente.
Ecco alcune azioni concrete.
1. Non basarti su Private Relay per proteggere la navigazione aziendale. Se i collaboratori usano iPhone, iPad o Mac per lavoro, la protezione della navigazione deve poggiare su policy, segmentazione, monitoraggio e strumenti gestiti dall’azienda, non su una funzione consumer inclusa in un abbonamento cloud.
2. Valuta una VPN aziendale dove serve davvero riservatezza di rete. Le fonti segnalano che l’uso di una VPN mitiga queste perdite di IP. Non è una soluzione universale per tutto, ma per ruoli sensibili, personale in mobilità o accessi da reti pubbliche è una misura molto più governabile.
3. Aggiorna rapidamente i dispositivi Apple. Quando una vulnerabilità o un comportamento anomalo coinvolge WebKit, la velocità con cui i device ricevono patch e nuove versioni diventa essenziale. Se in azienda manca una gestione centralizzata degli endpoint, è il momento di strutturarla meglio, ad esempio con servizi di desktop IT management.
4. Rivedi il messaggio interno sulla privacy. Molti utenti pensano che “relay”, “private” o “hide my” equivalgano a anonimato completo. Non è così. Conviene spiegare ai dipendenti che questi strumenti riducono alcuni rischi, ma non sostituiscono comportamenti prudenti, browser aggiornati e connessioni protette.
5. Proteggi anche la continuità operativa. Quando un ecosistema software presenta problemi ripetuti, non bisogna pensare solo alla riservatezza ma anche alla resilienza. Backup affidabili, procedure di ripristino e verifiche periodiche aiutano a contenere gli effetti di incidenti più ampi, non solo di vulnerabilità singole. Su questo può essere utile una strategia di remote backup.
6. Considera il tema anche dal lato compliance. L’indirizzo IP può rientrare tra i dati personali nel contesto normativo europeo. Se la tua azienda tratta dati di navigazione, log o informazioni di accesso, è opportuno che informative, misure tecniche e valutazioni del rischio siano coerenti con il GDPR. Se serve un supporto pratico, ha senso affrontarlo anche in ottica GDPR.
Cosa fare adesso, senza allarmismi
La mossa corretta non è disattivare in massa i dispositivi Apple o creare panico interno. È più utile fare tre verifiche ordinate.
Primo: mappare chi usa dispositivi Apple per ruoli sensibili, accesso a portali critici, home banking, sistemi gestionali o ambienti riservati.
Secondo: controllare policy di aggiornamento, browser utilizzati, presenza o assenza di VPN e livello di gestione centralizzata dei dispositivi.
Terzo: distinguere tra strumenti di privacy individuale e controlli di sicurezza aziendali. Un servizio pensato per l’utente finale può essere utile, ma non dovrebbe mai sostituire protezioni progettate e governate dall’IT.
In sostanza, questa vicenda ricorda una regola che vale sempre: le funzioni integrate dai grandi vendor possono migliorare l’esperienza e ridurre parte dell’esposizione, ma la sicurezza di un’azienda nasce da una strategia multilivello, non da una singola opzione attivata nelle impostazioni.
Domande frequenti
iCloud Private Relay è stato “rotto” del tutto?
No, almeno in base alle informazioni disponibili. La segnalazione parla di specifici bypass in WebKit che possono esporre l’IP reale in alcuni casi, non di un fallimento totale di ogni traffico protetto.
Il problema riguarda solo Safari?
No. Le fonti indicano che il tema coinvolge WebKit, usato da Safari e dai browser di terze parti su iOS e iPadOS, con impatto riportato anche su macOS.
Una VPN risolve il problema?
Secondo i ricercatori, le perdite risultano mitigate quando l’utente è connesso a una VPN. Per un’azienda, però, la VPN va inserita in una politica di sicurezza più ampia, non trattata come soluzione unica.