Une application de prière lancée par le pape François en 2019 contenait une faille de sécurité qui a exposé les informations personnelles de centaines de milliers d'utilisateurs avant d'être finalement corrigée cette année.
L'application Click To Pray a été développée par La Machi Communication for Good Causes pour le Réseau mondial de prière du Pape. Le pape François a approuvé ce service et y a créé un compte. L'application propose une « communauté de prière numérique » en guidant les utilisateurs à travers trois prières quotidiennes.
En janvier dernier, le chercheur indépendant BobDaHacker a découvert une faille dans l'API de l'application. Une API est un service en ligne qui répond aux requêtes de données. Normalement, seule l'application mobile devrait envoyer de telles requêtes, et l'API ne devrait renvoyer que des informations concernant l'utilisateur spécifique de cette application. Or, BobDaHacker a constaté qu'elle transmettait des informations sur n'importe quel utilisateur de l'application à quiconque en faisait la demande.
Les applications interrogent généralement un point de terminaison en lui envoyant un identifiant unique pour chaque utilisateur. Dans ce cas précis, ces identifiants étaient de simples numéros séquentiels. Selon BobDaHacker, l'application comptait 719 517 identifiants enregistrés, ce qui signifie que les informations de plus de 700 000 utilisateurs étaient stockées dans le système.
Le problème était que l'API ne vérifiait pas si la personne demandant un enregistrement était réellement autorisée à le consulter. N'importe qui pouvait demander des informations pour n'importe quel identifiant, de 1 à 719 517. L'API renvoyait alors l'enregistrement de cet utilisateur, incluant :
- Adresse électronique
- Prénom et nom de famille
- Pays
- Date de naissance
Ce type de faille est connu sous le nom de référence directe à un objet non sécurisé (IDOR) et nous l'avons déjà rencontrée. L'application de type stalker TheTruthSpy a été découverte en 2022, divulguant des informations sur ses victimes via une vulnérabilité IDOR, et elle n'avait toujours pas été corrigée deux ans plus tard. Le serveur web du dispositif GPS de suivi de véhicules MiCODUS MV720 présentait également cette vulnérabilité en 2022, exposant 1,5 million de personnes à un risque.
Une seconde faille dans l'API Click To Pray a aggravé la situation. Lorsqu'un utilisateur s'inscrit à une application, le service lui envoie généralement un lien par courriel contenant un code unique appelé hachage de validation. Cliquer sur ce lien prouve qu'il a accès à cette boîte de réception et qu'il est donc bien le propriétaire de l'adresse courriel utilisée lors de l'inscription.
Malheureusement, l'API Click To Pray renvoyait également le hachage de validation dans sa réponse lorsqu'un utilisateur cliquait sur le lien de vérification. Ces réponses étant facilement inspectables à l'aide des outils de développement d'un navigateur web, un attaquant pourrait créer un compte avec une adresse e-mail qu'il ne contrôle pas et le vérifier avant même que le véritable propriétaire ne reçoive l'e-mail de vérification.
Six mois, neuf contacts, zéro réponse
BobDaHacker a signalé le bug pour la première fois le 3 janvier 2026, envoyant finalement des courriels à neuf adresses différentes, notamment celles du service Click To Pray, du Réseau mondial de prière du Pape et une adresse d'information générale. Il n'a reçu aucune réponse. Le problème n'a été corrigé que plus de six mois plus tard, après que le chercheur a contacté un journaliste qui a adressé une demande d'information au Vatican.
La divulgation responsable n'est efficace que si le destinataire dispose d'une procédure de réception fonctionnelle. Neuf courriels restés sans réponse indiquaient clairement l'absence d'une telle procédure.
Ce n'est pas la première faille de sécurité dans une application du Vatican.
Ce n'est pas la première faille de sécurité concernant une application du Vatican. En 2019, la société britannique Fidus Information Security a découvert une vulnérabilité dans l'application du chapelet électronique Bluetooth du Vatican. Au lieu d'utiliser un mot de passe classique pour se connecter, les utilisateurs devaient saisir leur adresse électronique, et l'application leur envoyait un code PIN à quatre chiffres. Ils devaient ensuite saisir ce code PIN pour se connecter.
Cependant, lorsque l'utilisateur saisissait son adresse électronique, l'application renvoyait également le code PIN en clair dans sa réponse web. Cela permettait à un attaquant de prendre le contrôle d'un compte en analysant simplement la réponse.
Cette faille était similaire au problème de vérification de compte découvert par BobDaHacker plus de six ans plus tard. Bien que les incidents concernent des applications différentes, ils montrent comment le même type d'erreur de sécurité peut réapparaître à des années d'intervalle.
BobDaHacker a également noté que l'État de la Cité du Vatican a introduit son propre règlement sur la protection des données , le décret n° DCLVII, le 30 avril 2024. Ce règlement exige des garanties appropriées pour les données personnelles. Cependant, on ignore s'il s'applique directement à Click To Pray ou aux organisations qui le gèrent.
Que peuvent faire les utilisateurs maintenant
Heureusement, le Vatican a corrigé les failles, mais cette vulnérabilité a exposé les données des utilisateurs pendant une longue période. Si vous avez créé un compte, considérez que votre adresse e-mail, votre nom, votre date de naissance et votre pays sont potentiellement divulgués. Soyez vigilant face aux tentatives d'hameçonnage faisant référence à l'application et méfiez-vous particulièrement des messages prétendant provenir de services affiliés au Vatican et vous demandant de cliquer, de vérifier votre identité ou de vous connecter.
Ceci est d'autant plus important que BobDaHacker a également signalé que les courriels provenant de ce service échouaient aux contrôles d'authentification standard. Ces contrôles permettent aux fournisseurs de messagerie de vérifier qu'un message provient bien du domaine qu'il prétend représenter. Selon le chercheur, cela pourrait faciliter l'usurpation d'identité de l'organisation par des auteurs d'attaques de phishing.
Vos nom, adresse et numéro de téléphone sont peut-être déjà en vente.
Les courtiers en données collectent et vendent vos données personnelles à quiconque est prêt à payer. Malwarebytes Personal Data Remover lesPersonal Data Remover , supprime vos informations, puis veille sur la situation pour s'assurer que cela reste ainsi.
