Un'app di preghiera lanciata da Papa Francesco nel 2019 conteneva una falla di sicurezza che esponeva i dati personali di centinaia di migliaia di utenti, prima che venisse finalmente corretta quest'anno.
L'app Click To Pray è stata sviluppata da La Machi Communication for Good Causes per la Rete Mondiale di Preghiera del Papa. Papa Francesco ha approvato il servizio e possiede un account sulla piattaforma. L'app offre una "comunità digitale di preghiera" guidando gli utenti attraverso tre preghiere al giorno.
Nel gennaio di quest'anno, il ricercatore indipendente BobDaHacker ha scoperto una falla nell'endpoint API dell'app. Un'API è un servizio online che risponde alle richieste di dati. In genere, solo l'app mobile dovrebbe inviare tali richieste e l'API dovrebbe restituire solo informazioni relative alla persona specifica che utilizza quell'app. Tuttavia, BobDaHacker ha scoperto che l'API forniva informazioni su tutti gli utenti dell'app a chiunque ne facesse richiesta.
Le app in genere interrogano un endpoint inviandogli un ID specifico per l'utente. In questo caso, questi ID erano semplicemente numeri sequenziali. Secondo BobDaHacker, c'erano 719.517 ID registrati per l'app, il che significa che oltre 700.000 utenti avevano informazioni memorizzate nel sistema.
Il problema era che l'API non verificava se chi richiedeva un record fosse effettivamente autorizzato a visualizzarlo. Chiunque poteva richiedere informazioni per qualsiasi ID, da 1 a 719.517. L'API restituiva quindi il record di quell'utente, inclusi:
- Indirizzo e-mail
- Nome e cognome
- Paese
- Data di nascita
Questo tipo di falla è nota come Insecure Direct Object Reference (IDOR) e l'abbiamo già vista in passato. Nel 2022, l'app di tipo stalker TheTruthSpy è stata scoperta a divulgare dati personali delle sue vittime tramite una vulnerabilità IDOR, e due anni dopo non era ancora stata corretta. Anche il server web del dispositivo GPS per il tracciamento veicolare MiCODUS MV720 presentava la stessa vulnerabilità nel 2022, mettendo a rischio 1,5 milioni di persone.
Un secondo difetto nell'API di Click To Pray ha peggiorato ulteriormente la situazione. Quando gli utenti si registrano a un'app, il servizio in genere invia un link al loro indirizzo email contenente un codice univoco noto come hash di validazione. Cliccando sul link, l'utente dimostra di avere accesso a quella casella di posta e quindi di essere il proprietario dell'indirizzo email con cui si è registrato.
Purtroppo, l'API Click To Pray restituiva anche l'hash di validazione nella sua risposta quando qualcuno cliccava sul link di verifica. Queste risposte sono facili da ispezionare utilizzando gli strumenti per sviluppatori di un browser web, il che significa che un malintenzionato potrebbe registrare un account utilizzando un indirizzo email che non controlla e verificarlo prima ancora che il vero proprietario veda l'email di verifica.
Sei mesi, nove contatti, zero risposte
BobDaHacker segnalò per la prima volta il bug il 3 gennaio 2026, inviando email a nove indirizzi diversi, tra cui il servizio Click To Pray, la Rete Mondiale di Preghiera del Papa e un indirizzo di informazioni generali. Non ricevette alcuna risposta. Il problema fu risolto solo più di sei mesi dopo, quando il ricercatore contattò un giornalista, il quale presentò una richiesta di chiarimenti al Vaticano.
La divulgazione responsabile funziona solo quando il destinatario dispone di una procedura di ricezione efficace. Nove email senza risposta erano un chiaro segnale dell'inesistenza di tale procedura.
Non è la prima falla di sicurezza in un'app del Vaticano.
Non si tratta della prima falla di sicurezza che coinvolge un'app del Vaticano. Nel 2019, la società britannica Fidus Information Security ha scoperto una vulnerabilità nell'app del dispositivo Bluetooth per il Rosario elettronico del Vaticano. L'app non utilizzava una password tradizionale per l'accesso. Gli utenti inserivano invece il proprio indirizzo email e l'app inviava a tale indirizzo un PIN di quattro cifre. Successivamente, dovevano inserire il PIN per accedere.
Tuttavia, quando l'utente inseriva il proprio indirizzo email, l'app restituiva anche il PIN in chiaro nella sua risposta web. Ciò consentiva a un malintenzionato di assumere il controllo dell'account di chiunque semplicemente esaminando la risposta.
Questa falla era simile al problema di verifica dell'account scoperto da BobDaHacker più di sei anni dopo. Sebbene gli episodi abbiano coinvolto app diverse, dimostrano come lo stesso tipo di errore di sicurezza possa ripresentarsi a distanza di anni.
BobDaHacker ha inoltre fatto notare che lo Stato della Città del Vaticano ha introdotto un proprio regolamento sulla protezione dei dati , il Decreto n. DCLVII, il 30 aprile 2024. Il regolamento richiede adeguate garanzie per i dati personali. Tuttavia, non è chiaro se si applichi direttamente a Click To Pray o alle organizzazioni che lo gestiscono.
Cosa possono fare ora gli utenti
Fortunatamente, qualcuno in Vaticano ha ora risolto il problema, ma la vulnerabilità ha comportato l'esposizione dei dati degli utenti per un lungo periodo. Se hai registrato un account, considera che il tuo indirizzo email, nome, data di nascita e paese potrebbero essere in circolazione. Fai attenzione ai tentativi di phishing che fanno riferimento all'app e sii particolarmente scettico nei confronti dei messaggi che affermano di provenire da servizi affiliati al Vaticano e ti chiedono di cliccare, verificare o accedere.
Questo è particolarmente importante perché BobDaHacker ha anche segnalato che le email provenienti da questo servizio non superavano i controlli di autenticazione standard. Questi controlli aiutano i provider di posta elettronica a verificare che un messaggio provenga effettivamente dal dominio che dichiara di rappresentare. Secondo il ricercatore, ciò potrebbe facilitare agli hacker l'impersonificazione dell'organizzazione.
Il tuo nome, indirizzo e numero di telefono potrebbero già essere in vendita.
I broker di dati raccolgono e vendono i tuoi dati personali a chiunque sia disposto a pagare. Malwarebytes Personal Data Remover liPersonal Data Remover e provvede alla rimozione delle tue informazioni, continuando poi a monitorare la situazione affinché rimangano protette.
