Falha no iCloud Private Relay da Apple expõe endereços IP reais a sites com passkeys

A recente descoberta de que o iCloud Private Relay da Apple vaza endereços IP reais em sites que usam passkeys adiciona mais um capítulo preocupante à narrativa de privacidade da empresa. O cerne do problema reside em como o padrão WebAuthn, usado para passkeys, interage com o sistema operacional. Diferente da navegação comum, a requisição do WebAuthn não passa pelo Safari e, consequentemente, não é roteada pelo Private Relay. Em vez disso, o WebKit entrega a "cerimônia" WebAuthn ao serviço de credenciais do sistema operacional, que faz a requisição HTTPS diretamente do aparelho, sem o proxy do Private Relay. Isso significa que o servidor de destino vê o IP real do usuário.

A vulnerabilidade é silenciosa: um invasor pode criar um site com WebAuthn que vaza o IP sem qualquer indicação visível ao usuário. Além da falha principal com passkeys, os pesquisadores Tommy Mysk e Talal Haj Bakry identificaram outras duas funcionalidades do WebKit que também podem comprometer a privacidade: o DNS prefetching (introduzido no iOS 26), que revela os servidores DNS reais do usuário, e o WebTransport (no iOS 26.4), que pode expor o endereço IP. Estes problemas, somados a outros recentes como a falha no Hide My Email, que o CEVIU noticiou em 3 de julho de 2026, e as mudanças no domínio do serviço em 17 de junho de 2026, levantam questões sérias sobre a consistência e a eficácia das proteções de privacidade da Apple.

Este incidente abala a confiança dos usuários que pagam pelo iCloud+ justamente pela promessa de maior privacidade. O Private Relay é vendido como uma ferramenta para mascarar o IP e o DNS no Safari, uma característica crucial para quem busca anonimato online. Ao vazar IPs reais em situações específicas, mas comuns, como o uso de passkeys, a ferramenta não entrega o que promete. Isso é particularmente problemático porque não há alerta visual para o usuário quando o IP é exposto.

Para a Apple, a falha representa um desafio direto à sua imagem de empresa focada na privacidade. A necessidade de recorrer a uma VPN de terceiros para garantir a proteção, enquanto um serviço pago da Apple deveria oferecer isso, é um contrassenso. A situação exige uma resposta rápida da empresa, que já declarou estar investigando o relatório, para reafirmar seu compromisso com a privacidade do usuário em um cenário digital cada vez mais complexo.