El problema en palabras simples
iCloud Private Relay funciona como un túnel de privacidad: cuando navegas en Safari, tu tráfico pasa por dos servidores (uno de Apple y otro de un proveedor externo) para que los sitios web no vean tu IP real ni tu ubicación aproximada.
El problema es que investigadores descubrieron que ciertas funciones de tu dispositivo —como el inicio de sesión con claves de acceso (passkeys), la carga anticipada de sitios y una tecnología llamada WebTransport— están enviando conexiones directamente desde tu dispositivo, sin pasar por ese túnel de privacidad.
¿Quiénes descubrieron esto?
Los investigadores de seguridad Tommy Mysk y Talal Haj Bakry, fundadores de la empresa Psylo, fueron quienes identificaron y reportaron estas tres vulnerabilidades el 4 de agosto de 2026. Su hallazgo fue publicado inicialmente por el medio tecnológico 404 Media y luego confirmado por múltiples fuentes de seguridad. Tommy Mysk y Talal Haj Bakry no son nuevos en este tipo de hallazgos: en una publicación reciente, Mysk corrigió incluso la cronología de otra falla de Apple, señalando que los usuarios estuvieron expuestos durante años y no solo durante meses. Eso refuerza la idea de que su reporte sobre WebKit e iCloud Private Relay viene de un trabajo sostenido de investigación en privacidad, no de una acción aislada de promoción.
¿Qué significa esto para ti?
El peligro real:
Tu IP real queda expuesta: Cualquier sitio web que uses puede ver tu dirección IP verdadera, incluso con Private Relay activado.
Pueden saber dónde estás: Con tu IP, pueden determinar tu ciudad, tu proveedor de internet y, en algunos casos, tu ubicación aproximada.
Afecta a todos los navegadores en iPhone: Como Apple obliga a que todos los navegadores usen la misma tecnología (WebKit), esto impacta a Safari, Chrome, Firefox, Edge y cualquier otro navegador en tu iPhone o iPad.
¿Quién puede ver tu información?
- Sitios web que usas passkeys: Al iniciar sesión con tu huella, rostro o clave de dispositivo en sitios como Facebook, Google o tu banco, tu IP real se revela automáticamente.
- Cualquier sitio, aunque no lo uses: La función de “pre-carga” de sitios puede enviar tu IP a dominios que ni siquiera visitaste.
- Sitios con WebTransport: Esta tecnología nueva permite conexiones directas que bypass la protección.
Lo bueno: no hay evidencia de que esto se esté explotando activamente
Hasta ahora, no hay casos públicos de que criminales o empresas estén usando esta vulnerabilidad para espiarte activamente. Sin embargo, el riesgo existe y cualquier sitio web podría, en teoría, capturar tu IP real sin que lo sepas.
¿Qué puedes hacer ahora mismo?
1. Actualiza tu dispositivo YA
Apple lanzó correcciones de seguridad para iOS 26.3.1, iPadOS 26.3.1, macOS 26.3.1 y macOS 26.3.2.
Cómo hacerlo:
Ve a Ajustes → General → Actualización de software
Si hay una actualización disponible, instálala inmediatamente
Asegúrate de que las actualizaciones de seguridad en segundo plano estén activadas
2. Usa una VPN real si necesitas máxima privacidad
Las VPN tradicionales (como ExpressVPN, NordVPN, ProtonVPN) sí protegen contra esta fuga porque cifran todo el tráfico de tu dispositivo, no solo el del navegador.x+1
Diferencia clave: iCloud Private Relay solo protege Safari. Una VPN protege todo tu iPhone o Mac.
3. Para actividades muy sensibles, toma precauciones extra
Si vas a acceder a cuentas bancarias, datos médicos, información de trabajo confidencial o cualquier cosa que requiera máxima privacidad:
Usa una VPN además de Private Relay
Considera usar otro dispositivo o un perfil de navegador separado solo para esas actividades
No confíes solo en la “navegación privada”: esa función no te protege de estas fugas técnicas
4. Revisa si tienes activado Private Relay
Si pagas por iCloud+ y creías que estabas protegido, verifica tu configuración:
Ve a Ajustes → [tu nombre] → iCloud → Private Relay
Si está activado, ten en cuenta que no es suficiente contra esta vulnerabilidad
Lo que debes saber sobre iCloud Private Relay
No es una VPN: Solo oculta tu IP en Safari, no en otras apps ni en todo el sistema
Es una capa útil, pero no suficiente: Piensa en Private Relay como una protección adicional, no como tu única defensa.
Apple está trabajando en la solución: La empresa ya corrigió una vulnerabilidad relacionada, pero los expertos recomiendan cambios más profundos.
¿Deberías preocuparte?
- Si eres un usuario promedio que navega por redes sociales, lee noticias y usa apps cotidianas, el riesgo es bajo pero existe.
- Si manejas información sensible (trabajo, finanzas, datos personales críticos), toma medidas adicionales como usar una VPN y mantener tu dispositivo siempre actualizado.
- La buena noticia: con una actualización y, si es necesario, una VPN, puedes protegerte completamente de este problema.
La información que se expone no es nueva en sí misma: cualquier rastreador puede usar una IP para situar al usuario a nivel de ciudad, identificar su proveedor de internet y distinguir si se trata de una conexión residencial o móvil. Lo grave es que iCloud Private Relay se vende precisamente como una forma de evitar que los sitios vean esa IP auténtica, y en estos casos la recuperación de la IP real devuelve a los rastreadores una capacidad de seguimiento que el usuario creía haber desactivado.
