Além dos comentários de David acima, encontrei um tópico relacionado no site de suporte para desenvolvedores da Apple que recebeu uma resposta oficial confirmando o problema:
Resposta Oficial:
Olá aslkdjalksdjasdasd,
O comportamento está correto: as informações do usuário são enviadas apenas no ASAuthorizationAppleIDCredential durante o cadastro inicial do usuário. Logins subsequentes no seu aplicativo usando o “Entrar com Apple” com a mesma conta não compartilham nenhuma informação do usuário e retornarão apenas um identificador de usuário no ASAuthorizationAppleIDCredential. Recomendamos que você armazene em cache de forma segura o ASAuthorizationAppleIDCredential inicial contendo as informações do usuário até que possa validar que uma conta foi criada com sucesso no seu servidor.
Patrick
Como comenta um desenvolvedor:
Então espere… Se, por algum motivo, o primeiro redirecionamento da Apple se perder por uma das muitas razões MUITO comuns, perdemos permanentemente esse usuário, já que não há outra maneira de obter suas informações. Não existe OUTRA maneira de obter essas informações?
e outro:
Ou, se algo der errado a jusante, teremos clientes reclamando e o suporte dirá a eles para acessar o site do Apple ID para revogar a permissão, para que possam se registrar novamente corretamente. Acredito que isso será uma experiência ruim e fará com que as pessoas deixem de usar esse mecanismo de login se começarem a ter esse tipo de problema.
Portanto, não acho que seja seguro usar isso em produção, infelizmente. Isso seria um pesadelo para o suporte.
Sugiro que deixemos isso de lado até que a Apple perceba o problema que criou: em sua tentativa de melhorar a segurança, parece que eles comprometeram excessivamente a robustez.