Le cabinet Clarkson Law Firm a déposé une plainte collective contre Apple, l'accusant de fraude et de publicité mensongère au sujet d'iCloud Private Relay. Cette procédure fait suite à la faille que nous rapportions hier, laquelle permet à un site web d'obtenir l'adresse IP réelle d'un abonné iCloud+ malgré l'activation de cette protection.
En décembre 2025, le même cabinet avait déjà obtenu un règlement de 250 millions de dollars dans le dossier lié au retard de la nouvelle version de Siri. Apple avait été accusée de publicité mensongère. Cette fois, Clarkson Law Firm vise la fonction censée masquer l'adresse IP et chiffrer les requêtes DNS des abonnés iCloud+ lors de leur navigation sur Safari.
Confidentialité : une nouvelle promesse non tenue
La plainte avance qu'Apple savait, ou aurait dû savoir, que ses affirmations sur la protection de la vie privée via Private Relay étaient fausses ou trompeuses au moment de commercialiser les abonnements iCloud+. Tim Giordano, associé chez Clarkson, estime que la firme de Cupertino a construit sa réputation sur des promesses de confidentialité qu'aucune autre entreprise n'égalait, et que les abonnés ont payé un supplément pendant des années pour une protection qui, selon lui, ne fonctionnait pas. Il qualifie la situation de violation "outrageante" de la confiance des consommateurs.
Le dossier s'appuie sur les failles WebKit récemment signalées par des chercheurs en sécurité, en particulier celle touchant l'authentification par passkey, une méthode de connexion sans mot de passe. Quand un site déclenche une vérification par passkey, c'est le système d'exploitation de l'appareil qui traite la requête réseau, et non Safari. Elle échappe donc entièrement au proxy de Private Relay et peut révéler l'adresse IP réelle, parfois sans qu'aucune fenêtre ne s'affiche à l'écran, y compris sur un site qui se contente de prétendre prendre en charge les passkeys sans réellement les proposer.
Deux autres failles ont été repérées. Le préchargement DNS et le protocole WebTransport, ajoutés avec iOS 26, peuvent eux aussi exposer l'adresse IP ou les serveurs DNS réels d'un utilisateur selon les cas. Comme WebKit sert de moteur à l'ensemble des navigateurs iOS, cette exposition ne se limite pas à Safari.
Le mois dernier, une autre plainte avait été déposée contre Apple, cette fois pour avoir laissé une faille perdurer dans les alias de la fonctionnalité Masquer mon adresse email. Là encore, la société propose cette fonctionnalité dans le cadre de son abonnement iCloud+. Et là encore, cette vulnérabilité permettait de déterminer la véritable adresse email de l'abonné malgré l'activation de la protection.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.