- Los investigadores Tommy Mysk y Talal Haj Bakry han descubierto tres vulnerabilidades en WebKit que permiten a cualquier web conocer la dirección IP real del usuario, incluso con iCloud Private Relay activo.
- El fallo más grave afecta a las passkeys: la petición de autenticación se gestiona fuera de Safari, saltándose el túnel de privacidad de Apple.
- Apple ha confirmado que está investigando el problema y planea lanzar una corrección en otoño de 2026, aunque los investigadores recuerdan que un fallo similar en 'Hide My Email' tardó más de un año en solucionarse.
- Mientras llega el parche, los expertos recomiendan usar una VPN a nivel de sistema para proteger todo el tráfico del dispositivo, no solo el de Safari.
Cuando activas Private Relay, das por hecho que tu dirección IP queda oculta mientras navegas por Safari. Es justo lo que promete iCloud+: que las web que visitas no puedan ver quién eres, ni desde dónde te conectas. Pero según una investigación publicada esta semana, ese blindaje no es tan sólido como parecía, y el problema afecta a millones de usuarios en todo el mundo.
Los investigadores de seguridad Tommy Mysk y Talal Haj Bakry han destapado un fallo relacionado con las passkeys, el sistema de autenticación sin contraseña que cada vez usan más páginas. Cualquier web que las utilice, o que simplemente finja hacerlo, puede acabar viendo tu dirección IP real, aunque tengas Private Relay activado. El hallazgo, verificado por medios como 404 Media y TechCrunch, ha puesto en alerta a la comunidad de privacidad y ha obligado a Apple a pronunciarse.
Qué es Private Relay y por qué falla ahora
Private Relay forma parte de iCloud+, la suscripción de pago de Apple que añade varias funciones de privacidad. Su funcionamiento es sencillo: cuando navegas por Safari, tu dirección IP pasa primero por un servidor de Apple y después por un segundo servidor ajeno a la compañía. La web que visitas solo ve esa última dirección, así que no hay forma de rastrear tu origen. Es un sistema de dos saltos que, en teoría, garantiza el anonimato. Si quieres profundizar, puedes conocer iCloud Private Relay y sus capacidades.
Sin embargo, los investigadores han demostrado que no es una VPN tradicional. Una VPN protege todo el tráfico del dispositivo, venga de donde venga, mientras que Private Relay solo cubre lo que pasa por Safari. Y ahí está el problema: las passkeys operan fuera del navegador. Cuando entras en una página que las usa, tu iPhone hace una petición para verificar tu identidad, y esa petición la gestiona directamente el sistema operativo, no Safari. Como no pasa por el navegador, tampoco pasa por Private Relay, así que la web de destino recibe tu IP real sin que tú te enteres.
Los tres fallos en WebKit
El informe de Mysk y Haj Bakry detalla tres vulnerabilidades en WebKit, el motor del navegador de Apple que usan todos los navegadores en iOS. La más preocupante es la de las passkeys, pero no es la única. El DNS prefetching y WebTransport también pueden filtrar información sensible.
- Passkeys (WebAuthn): la petición de autenticación se envía desde el sistema operativo, fuera del proxy de Private Relay. Cualquier web que soporte o simule soportar passkeys puede ver tu IP real.
- DNS prefetching: esta función, añadida en iOS 26, resuelve los nombres de dominio antes de que hagas clic en un enlace, pero lo hace a través del DNS normal del dispositivo, no del proxy. Revela tus servidores DNS reales.
- WebTransport: presente desde iOS 26.4, permite conexiones HTTP/3 directas que también se saltan el túnel de privacidad.
Los investigadores han creado una web de prueba (leaks.psylo.app) donde cualquier usuario puede comprobar si su IP se filtra. Los periodistas de 404 Media lo probaron y confirmaron que la herramienta mostraba la dirección IP real de un usuario que se suponía protegido. El fallo afecta a todos los navegadores de iOS, incluido Onion Browser, el navegador basado en Tor, porque Apple obliga a todos a usar WebKit.
La respuesta de Apple y el precedente de ‘Hide My Email
Apple ha confirmado a 404 Media que está investigando el informe de los investigadores. En el portal de reporte de seguridad, el equipo de Cupertino ha indicado que planea solucionar el problema, con una corrección prevista para otoño de 2026. Sin embargo, los investigadores se muestran escépticos con los plazos, y recuerdan que un fallo similar en ‘Hide My Email’, que exponía las direcciones de correo reales de los usuarios, tardó más de un año en arreglarse después de ser reportado.
Mysk y Haj Bakry decidieron hacer público su hallazgo en lugar de esperar a que Apple lo solucionara en silencio. «Nuestra experiencia con Apple nos dice que esto habría implicado meses de retrasos y comunicación inconsistente», ha explicado Mysk. La compañía, por su parte, no ha dado más detalles sobre cómo piensa abordar el problema de las passkeys.
Qué puedes hacer mientras llega el parche
Mientras Apple trabaja en la solución, los expertos recomiendan no confiar únicamente en Private Relay como capa de protección. Una VPN que opere a nivel de sistema, como ProtonVPN, Mullvad o WireGuard, protege todo el tráfico del dispositivo, incluyendo las peticiones de passkeys que se escapan del navegador. No es una solución gratuita, pero es la única forma de garantizar que tu IP no se filtre.
También puedes revisar si tu IP se está exponiendo en la web de prueba de los investigadores, y estar atento a las actualizaciones de iOS. El fallo de las passkeys es especialmente difícil de mitigar para el usuario final, porque no hay una configuración en Safari que lo evite. Requiere un arreglo de WebKit que solo Apple puede lanzar.
Con todo, conviene poner las cosas en perspectiva. Private Relay sigue protegiendo la mayor parte de tu navegación en Safari, y el fallo solo se activa cuando una web solicita una passkey o explota deliberadamente las otras dos vulnerabilidades. No es un problema que invalide por completo el servicio, pero sí demuestra que la privacidad en el ecosistema de Apple tiene más grietas de las que la compañía admite. Los investigadores, por su parte, han contactado con el Tor Project y los desarrolladores de Onion Browser para coordinar soluciones, y recomiendan a los usuarios más preocupados por su anonimato que usen el Tor Browser oficial, que no se ve afectado por este fallo.
