- Fuga de IP real: Un fallo en WebKit permite a sitios web obtener la dirección IP de usuarios de iCloud Private Relay a través de solicitudes de passkeys, DNS prefetching y WebTransport.
- Investigación en curso: Los investigadores Tommy Mysk y Talal Haj Bakry reportaron el problema a Apple, que ya investiga el incidente y planea un parche para otoño de 2026.
- Impacto en España: La AEPD y reguladores europeos podrían abrir investigaciones si se confirma que el servicio no ofrece el nivel de privacidad prometido, afectando a miles de usuarios de iCloud+.
- No es una VPN: Private Relay solo protege Safari, y este fallo demuestra que ni siquiera dentro del navegador la protección es total, afectando también a navegadores Tor en iOS.
El servicio estrella de privacidad de Apple, iCloud Private Relay, ha mostrado una grieta preocupante. Un fallo en el motor WebKit de Safari permite que los sitios web obtengan la IP real de los usuarios al tramitar solicitudes de passkeys, saltándose así la protección que enmascara la navegación. Apple ya investiga el incidente, según ha confirmado a los investigadores responsables del hallazgo, aunque todavía no ha ofrecido un calendario de corrección.
La vulnerabilidad, descubierta por los especialistas Tommy Mysk y Talal Haj Bakry, afecta a tres mecanismos concretos del motor WebKit: DNS prefetching, WebAuthn Related Origin Requests y WebTransport. El más grave para el usuario medio es el relacionado con las passkeys, el sistema de autenticación sin contraseña que Apple impulsa como el futuro de la seguridad digital. Cualquier sitio web que finja soportar passkeys puede desencadenar la fuga de IP sin que el usuario se percate, ya que la petición se gestiona a nivel del sistema operativo, fuera del túnel cifrado de Private Relay.
El fallo en WebKit que burla a Private Relay
La raíz del problema está en la arquitectura de iOS. Apple diseñó las passkeys para que fueran independientes del navegador, precisamente para ofrecer una experiencia de inicio de sesión más fluida. Sin embargo, ese atajo deja fuera el túnel de privacidad y, con él, la capacidad de ocultar la IP real. Los investigadores comprobaron que incluso los sitios que solo aparentan admitir passkeys pueden desencadenar la filtración, y que la petición WebAuthn no se canaliza a través del proxy, sino que la gestiona directamente el servicio de credenciales del sistema.
Apple confirmó a los autores del estudio que está investigando la vulnerabilidad, aunque no ha ofrecido un calendario de corrección ni ha detallado qué versiones de iOS se verían afectadas. La comunidad de seguridad, entre tanto, advierte de que la exposición podría ser aprovechada por redes publicitarias y servicios de rastreo que ya monitorizan el comportamiento del usuario en Internet. Un sitio de prueba llamado leaks.psylo.app permite a cualquier usuario comprobar si su IP real se filtra incluso con Private Relay activado.
Passkeys: la puerta falsa en la privacidad de Apple
Las passkeys representan la gran apuesta de la industria por eliminar las contraseñas y reducir el fraude de phishing. Apple, Google y Microsoft impulsan el estándar FIDO, y la adopción ha crecido rápidamente en los últimos dos años. Sin embargo, esta vulnerabilidad demuestra que la integración apresurada de tecnologías de seguridad puede generar efectos colaterales imprevistos. El mismo sistema que promete proteger la identidad del usuario frente a los sitios web es el que podría estar delatando su ubicación geográfica real.
Desde el punto de vista del usuario, la situación es incómoda: navegar con Safari y tener activado iCloud+ ya no garantiza el anonimato frente a sitios maliciosos. La confianza que Apple deposita en su discurso de privacidad —eslogan recurrente en sus presentaciones— queda momentáneamente en entredicho, y los competidores, especialmente los proveedores de VPN y navegadores alternativos, no tardarán en recordarlo. Este no es el primer incidente reciente en los servicios de privacidad de Apple: el mes pasado se reveló un fallo en Hide My Email que exponía las direcciones reales de los usuarios, corregido finalmente por Apple después de más de un año de conocerlo.
Qué dispositivos y navegadores están afectados
El problema afecta a todos los navegadores basados en WebKit en iOS, iPadOS y macOS, incluyendo Safari. Dado que las políticas de la App Store exigen que todos los navegadores de iOS utilicen WebKit, cualquier navegador de iOS que dependa de esta API para usar proxies se ve afectado, incluidos todos los navegadores Tor para iOS y Psylo, el navegador privado desarrollado por los propios investigadores. Esto amplifica el impacto más allá de Safari, porque incluso herramientas diseñadas específicamente para la privacidad, como Onion Browser para Tor, pueden ver comprometida la IP real de sus usuarios.
Los investigadores han contactado con el Tor Project para compartir los detalles y entablar soluciones para sus hallazgos. Apple, por su parte, ha asegurado que está investigando el informe. Sin embargo, la compañía podría tardar bastante tiempo en solucionar este problema, ya que los investigadores lo comparan con el fallo de Hide My Email, que se resolvió 13 meses después de ser identificado y comunicado. Según el estado actual del informe de seguridad, Apple planea abordar el problema en otoño de 2026, sin especificar una fecha concreta.
La privacidad como activo: lo que se juega Apple en España
En España, donde el ecosistema iOS goza de una penetración superior al 20% entre los smartphones activos, la privacidad se ha convertido en un argumento de venta diferencial. Miles de usuarios contratan iCloud+ precisamente por funciones como Private Relay, y la Agencia Española de Protección de Datos (AEPD) mantiene una vigilancia creciente sobre las declaraciones comerciales que puedan inducir a error en materia de protección de datos. La AEPD podría abrir una investigación si concluye que la funcionalidad de Private Relay no ofrece el nivel de protección prometido, lo que añadiría presión reputacional y, potencialmente, financiera a Apple en el mercado español.
El regulador ha sancionado a grandes tecnológicas por prácticas que difuminaban el consentimiento del usuario, y aunque este fallo aún no ha sido explotado de forma masiva, sienta un precedente incómodo. La privacidad diferencial de Apple entra ahora en el radar regulatorio europeo, y las autoridades de protección de datos de la UE podrían tomar cartas en el asunto si consideran que el servicio no cumple lo que promete. Este incidente llega en un momento delicado para Apple, que ha hecho de la privacidad su principal argumento de diferenciación frente a Google y otras tecnológicas.
Cómo protegerte mientras Apple lanza el parche
Mientras Apple trabaja en la solución, los expertos recomiendan tomar medidas adicionales para proteger la privacidad. La primera y más importante es mantener todos los dispositivos actualizados a las últimas versiones de iOS, macOS y Safari, ya que Apple ha distribuido algunas correcciones parciales mediante actualizaciones de seguridad en segundo plano. Para los usuarios que manejan datos sensibles, lo más prudente es segmentar el acceso: usar perfiles de navegador separados o dispositivos distintos para la navegación personal y para acceder a información crítica.
También se recomienda implementar DNS controlado por la empresa en dispositivos gestionados, lo que permite monitorear resoluciones anómalas y detectar posibles fugas. Para tareas extremadamente sensibles, lo mejor es usar un entorno aislado o una VPN a nivel de sistema, que protege todo el tráfico del dispositivo y no solo el del navegador. Conviene recordar que Private Relay no es una VPN: solo protege Safari, mientras que una VPN protege todas las conexiones del dispositivo.
Este descubrimiento se produce apenas un mes después de que Apple corrigiera el fallo de Hide My Email, que estuvo activo durante más de un año. El patrón sugiere que la compañía necesita revisar en profundidad cómo se integran las distintas capas de seguridad en su ecosistema. La comunidad de seguridad espera que Apple responda con más celeridad en esta ocasión, dado que la exposición de la IP real afecta directamente a la promesa central de iCloud Private Relay. El incidente demuestra que la privacidad en navegación es un problema de capas, y que ninguna solución única, por sofisticada que sea, garantiza una protección completa.
La noticia llega en un momento en que los usuarios europeos son cada vez más conscientes de su huella digital y de los riesgos asociados a la navegación web. La confianza en los servicios de privacidad es frágil, y este tipo de fallos la erosiona de manera significativa. Mientras Apple resuelve el problema, los usuarios deben asumir que su IP puede estar expuesta y actuar en consecuencia, especialmente cuando acceden a servicios bancarios, cuentas corporativas o datos personales sensibles desde sus dispositivos Apple.