134 adresses e-mail anonymes, un seul compte iCloud. C’est tout ce qu’il a fallu au FBI pour remonter jusqu’à l’identité réelle d’un utilisateur qui pensait être invisible grâce à la fonction « Masquer mon e-mail » d’Apple. Des documents judiciaires rendus publics cette semaine révèlent que la promesse de confidentialité s’arrête net dès qu’un agent fédéral frappe à la porte.
Un e-mail menaçant, une identité démasquée en quelques heures
L’affaire démarre avec un message envoyé à Alexis Wilkins, compagne du directeur du FBI Kash Patel. L’expéditeur avait utilisé « Masquer mon e-mail », une fonctionnalité réservée aux abonnés iCloud+ qui génère des adresses aléatoires pour masquer la véritable boîte de réception. Sur le papier, le message était intraçable. En pratique, le FBI a envoyé une demande de données à Apple, et le masque est tombé.
Selon l’affidavit consulté par TechCrunch, Apple a transmis le nom complet du détenteur du compte, son adresse e-mail réelle et l’historique de ses 134 alias créés via la fonction. L’homme, identifié comme Alden Ruml, a ensuite reconnu les faits lors d’un interrogatoire. Un grand jury l’a inculpé pour transmission de menace dans le cadre du commerce interétatique. L’affaire a été révélée par 404 Media, qui a obtenu les documents judiciaires via la plateforme Court Watch.
Un deuxième cas confirme le mécanisme
Ce n’est pas un incident isolé. TechCrunch a consulté un second mandat de perquisition dans lequel Apple a fourni les mêmes informations, cette fois à des agents de Homeland Security Investigations (HSI), une branche de l’immigration américaine (ICE). L’enquête portait sur une fraude à l’identité présumée. L’agent HSI cite « des données reçues d’Apple » en janvier 2026, précisant que le suspect avait créé plusieurs alias anonymisés sur différents comptes Apple.
Deux affaires, deux agences fédérales différentes, un résultat identique : Apple livre les données, et l’anonymat s’évapore.
Ce que « Masquer mon e-mail » protège (et ce qu’il ne protège pas)
Pour comprendre pourquoi, il faut regarder comment la fonctionnalité marche concrètement. Quand un utilisateur iCloud+ crée un alias, Apple génère une adresse aléatoire du type xyz123@icloud.com. Les messages reçus sont redirigés vers la vraie boîte de réception. Le site web ou l’application qui reçoit l’alias ne voit jamais l’adresse réelle : c’est efficace contre le spam et le pistage commercial.
Le problème se situe du côté serveur. Pour que la redirection fonctionne, Apple doit conserver la correspondance entre chaque alias et le compte principal. Cette table de correspondance n’est pas chiffrée de bout en bout. Elle fait partie des métadonnées de compte, au même titre que le nom, l’adresse de facturation et l’historique des transactions. Face à une demande judiciaire valide (mandat, assignation), Apple est tenu de la transmettre.
C’est une distinction que SecurityBoulevard résume bien : « Masquer mon e-mail » protège contre le capitalisme de surveillance, pas contre un mandat fédéral. La fonctionnalité a été conçue pour empêcher les applications et les annonceurs de collecter votre véritable adresse. Elle n’a jamais été pensée comme un outil d’anonymat face aux autorités.
La frontière entre chiffrement et confidentialité
Apple met en avant le chiffrement de bout en bout sur une partie croissante de ses services. Avec la Protection avancée des données (Advanced Data Protection), activée depuis fin 2022, les sauvegardes iCloud, les photos, les notes et les messages sont chiffrés de telle sorte qu’Apple ne peut pas y accéder, même sur injonction. L’entreprise l’a rappelé à plusieurs reprises lors de ses bras de fer avec les autorités.
Le courrier électronique, lui, reste un angle mort. La quasi-totalité des e-mails envoyés dans le monde transitent en clair, avec les métadonnées nécessaires au routage (expéditeur, destinataire, serveurs relais) exposées à chaque étape. Chiffrer un alias ne change rien au fait que le message lui-même voyage sans protection. C’est une limite structurelle du protocole, pas un choix d’Apple.
Les rapports de transparence d’Apple confirment l’ampleur du phénomène. Sur le premier semestre 2024, les autorités américaines ont envoyé 12 043 demandes portant sur des données d’appareils, couvrant 42 747 terminaux. Apple a répondu favorablement à 85 % d’entre elles, selon 9to5Mac. Sur les demandes liées aux notifications push, un sujet révélé fin 2023 par le sénateur Ron Wyden, Apple a toutefois durci sa position : le taux d’acceptation est passé de 88 % au premier semestre 2023 à 28 % au premier semestre 2024.
Signal, la seule vraie parade
C’est précisément cette faiblesse qui explique l’essor des messageries chiffrées de bout en bout. Signal, dont les téléchargements ont grimpé en flèche ces dernières années, ne conserve quasiment aucune donnée exploitable par les autorités : pas de contenu de message, pas de liste de contacts, pas d’historique de groupe. Lorsque le FBI envoie une demande à Signal, la réponse tient sur deux lignes : la date de création du compte et la date de dernière connexion. Rien d’autre.
La différence est architecturale. Signal ne peut pas livrer ce qu’il ne stocke pas. Apple, pour faire fonctionner « Masquer mon e-mail », doit stocker la correspondance alias-compte. Cette donnée existe sur ses serveurs, et elle est accessible par voie judiciaire. Tant que le protocole e-mail restera ce qu’il est, aucune surcouche cosmétique ne transformera un message électronique en communication véritablement anonyme.
Ce qui attend les utilisateurs d’iCloud+
L’affaire ne remet pas en cause l’utilité de « Masquer mon e-mail » pour l’usage quotidien. Créer un alias pour s’inscrire sur un site douteux, filtrer le spam, éviter que son adresse personnelle circule dans des bases de données marketing : tout ça fonctionne. C’est même recommandé.
Ce que ces deux mandats de perquisition rappellent, c’est que la confidentialité commerciale et l’anonymat judiciaire sont deux choses radicalement différentes. Apple publie des rapports de transparence bisannuels depuis 2013 pour détailler ces transmissions de données, même si celui du second semestre 2025 n’a pas encore été publié.
Le FBI demande désormais l’accès aux appareils physiques d’Alden Ruml, avec autorisation d’utiliser le déverrouillage biométrique et de désactiver la Protection en cas de vol. La prochaine étape du bras de fer entre vie privée et application de la loi ne se jouera plus sur les serveurs, mais directement dans la poche de l’utilisateur.
