En 2015, un malware a infecté plusieurs applications populaires sur iOS sans qu'Apple ne prévienne directement les utilisateurs infectés.

Craig Federighi a déclaré à l'occasion du procès Apple contre Epic que « dans la communauté de la sécurité informatique, il est reconnu qu'Android a un problème de malware qu'iOS est parvenu jusqu'à présent à éviter ». Cette annonce reste à nuancer comme le montrent plusieurs emails internes dévoilés à l'occasion de ce même procès. En 2015, des managers d'Apple ont réalisé que quelques 2 500 applications étaient infectées par un malware. Un problème qu'Apple a tâché de résoudre sans faire trop de bruit, sans prévenir directement les 128 millions d'utilisateurs ayant téléchargé lesdites applications.

Le malware était ajouté aux applications par une version vérolée de Xcode, surnommée XcodeGhost, particulièrement populaire en Chine en raison des difficultés pour se procurer le logiciel par le biais d'Apple. Le code malveillant permettait aux apps infectées d'envoyer plusieurs informations, notamment le nom de l'application, de l'appareil, son type et son identifiant unique. Dans un communiqué sur son site qui a depuis été supprimé, Apple expliquait que des applications chinoises très utilisées comme WeChat, Himalaya FM ou encore une version d'Angry Birds avaient été infectées. Ces applications avaient été téléchargées 203 millions de fois, et la firme recommandait sur son site de les mettre à jour très rapidement.

D'après les emails révélés lors du procès, Apple a tout d'abord envisagé d'envoyer un mail traduit dans de nombreuses langues à chaque utilisateur touché en indiquant le nom de l'application problématique. Cependant, la firme n'a jamais terminé cette tâche et s'est contentée d'un simple communiqué. Une décision qui fait tache pour l'entreprise, qui utilise régulièrement la sécurité de ses clients comme argument marketing.