Apple est visée par une action collective portant sur iCloud Private Relay, l’option de confidentialité incluse avec les abonnements iCloud+. Le cabinet Clarkson Law Firm reproche au groupe des pratiques commerciales trompeuses, de fausses déclarations et de fraude autour de cette fonction destinée à réduire le suivi en ligne dans Safari.
Au cœur du dossier, une fuite potentielle de l’adresse IP réelle de l’utilisateur. Cette adresse peut notamment aider un service en ligne à identifier l’origine approximative d’une connexion et à suivre un internaute d’un site à l’autre.
Le rôle de Private Relay dans Safari
Private Relay n’est pas présenté comme un VPN. Son principe est de séparer les informations visibles par les différents acteurs lors de la navigation : selon le fonctionnement décrit par Apple, le fournisseur d’accès Internet voit la connexion vers un serveur Apple, tandis que le site consulté reçoit une adresse IP attribuée par ce serveur plutôt que celle de l’utilisateur.
Des chercheurs en sécurité ont toutefois établi qu’un site compatible avec les passkeys pouvait accéder à l’adresse IP réelle. La requête concernée serait envoyée par l’appareil en dehors du navigateur, ce qui lui permettrait de ne pas passer par Private Relay alors que l’utilisateur navigue normalement sur le site.
Le scénario ne se limiterait pas aux services exploitant effectivement les passkeys : d’après les travaux évoqués dans la plainte, un site se déclarant simplement compatible avec cette méthode d’authentification pourrait lui aussi obtenir cette donnée réseau.
Une plainte qui vise la promesse de confidentialité
Clarkson Law Firm soutient qu’Apple « savait, ou aurait dû savoir » que les affirmations contestées étaient fausses, trompeuses, mensongères et illégales lorsqu’elle a commercialisé iCloud+ et Private Relay. Tim Giordano, associé du cabinet, estime que l’affaire constitue une atteinte majeure à la confiance placée par les consommateurs dans la protection de leur vie privée.
Le cabinet avait déjà obtenu un accord de 250 millions de dollars dans une affaire liée au retard de lancement de Siri AI.
Ce que ça change pour les abonnés iCloud+
Pour les utilisateurs qui activent Private Relay afin de limiter le pistage, l’enjeu est très concret : une adresse IP exposée peut réduire la protection attendue lors de la visite de certains sites. La procédure va donc examiner l’écart allégué entre le message commercial associé à la confidentialité et le comportement technique du service avec les passkeys.
Cette affaire rappelle aussi qu’une fonction de protection ne couvre pas nécessairement tous les échanges effectués par un appareil. Pour Apple, le dossier pourrait placer ses communications sur la vie privée sous un contrôle juridique particulièrement attentif.
À lire aussi
Source : Clarkson Law Firm — plainte en recours collectif contre Apple