フランシスコ教皇が2019年に発表した祈りのアプリにセキュリティ上の欠陥があり、数十万人のユーザーの個人情報が流出したが、今年になってようやく修正された。
「Click To Pray」というアプリは、教皇の世界祈祷ネットワークのために、La Machi Communication for Good Causesによって開発されました。フランシスコ教皇はこのサービスを支持し、アカウントも持っています。このアプリは、毎日3つの祈りを通して人々を導くことで、「デジタル祈祷コミュニティ」を提供します。
今年1月、独立系研究者のBobDaHacker氏が、このアプリのAPIエンドポイントに欠陥を発見した。APIとは、データ要求に応答するオンラインサービスのことである。通常、このような要求はモバイルアプリのみが送信し、APIはそのアプリを使用している特定の人物に関する情報のみを返すはずである。しかし、BobDaHacker氏の調査によると、このアプリは要求した者であれば誰にでも、アプリのあらゆるユーザーに関する情報を提供していた。
アプリは通常、利用者の特定のIDを送信することでエンドポイントに問い合わせを行います。今回のケースでは、それらのIDは単なる連番でした。BobDaHackerによると、このアプリには719,517件の登録IDがあり、これは70万人以上のユーザーの情報がシステムに保存されていたことを意味します。
問題は、APIがレコードを要求するユーザーが実際にそのレコードを閲覧する権限を持っているかどうかをチェックしていなかったことです。誰でも1から719,517までの任意のIDの情報を要求できました。するとAPIはそのユーザーのレコードを返しましたが、そのレコードには以下の情報が含まれていました。
- メールアドレス
- 名字
- 国名
- 生年月日
この種の脆弱性は、安全でない直接オブジェクト参照（IDOR）として知られており、過去にも確認されています。ストーカーウェア型のアプリ「TheTruthSpy」は、2022年にIDORの脆弱性を利用して被害者の個人情報を漏洩させていたことが発覚し、2年後もまだ修正されていませんでした。また、車両追跡GPSデバイス「MiCODUS MV720」のウェブサーバーにも2022年に同様の脆弱性があり、150万人が危険にさらされました。
Click To Pray APIの2つ目の欠陥が事態をさらに悪化させた。アプリに登録する際、サービスは通常、検証ハッシュと呼ばれる固有のコードを含むリンクをユーザーのメールアドレスに送信する。このリンクをクリックすることで、ユーザーがその受信トレイにアクセスできることが証明され、登録したメールアドレスの所有者であることが確認される。
残念ながら、Click To Pray APIは、ユーザーが検証リンクをクリックした際に、検証ハッシュをレスポンスに含めて返していました。これらのレスポンスはWebブラウザの開発者ツールで簡単に検証できるため、攻撃者は自分が管理していないメールアドレスを使ってアカウントを登録し、実際の所有者が検証メールを見る前に認証を完了できてしまう可能性があります。
6か月、9回連絡、返信ゼロ
BobDaHackerは2026年1月3日にこのバグを最初に報告し、Click To Prayサービス、教皇の世界祈祷ネットワーク、および一般情報アドレスを含む9つのアドレスにメールを送信したが、返信はなかった。研究者がジャーナリストに連絡を取り、そのジャーナリストがバチカンに問い合わせを行った後、6か月以上経ってようやくバグが修正された。
責任ある情報開示は、情報受領者が適切な情報受付プロセスを備えている場合にのみ有効です。9通の未返信メールは、そのようなプロセスが存在しないことを強く示唆していました。
バチカンアプリにおけるセキュリティ上の欠陥はこれが初めてではない
バチカンのアプリにセキュリティ上の欠陥が見つかったのは今回が初めてではない。2019年には、英国の情報セキュリティ企業Fidus Information Securityが、バチカンのBluetooth対応電子ロザリオ端末のアプリに欠陥を発見した。このアプリはログインに従来のパスワードを使用しておらず、ユーザーがメールアドレスを入力すると、アプリはそのアドレスに4桁のPINコードを送信する仕組みになっていた。ユーザーはそのPINコードを入力してログインしていた。
しかし、ユーザーがメールアドレスを入力すると、アプリはウェブレスポンスにPINコードを平文で返していた。そのため、攻撃者はレスポンスを調べるだけで、誰のアカウントでも乗っ取ることができた。
その欠陥は、BobDaHackerが6年以上後に発見したアカウント認証の問題と類似していた。これらの事件は異なるアプリで発生したものの、同じ種類のセキュリティ上のミスが何年も経ってから再び発生する可能性があることを示している。
BobDaHacker氏はまた、バチカン市国が2024年4月30日に独自のデータ保護規則である政令第DCLVII号を導入したことにも言及した。この規則は個人データに対する適切な保護措置を義務付けている。しかし、この規則がClick To Prayやそれを運営する組織に直接適用されるかどうかは明らかではない。
ユーザーが現在できること
幸いにも、バチカン側で既に不具合は修正されましたが、この脆弱性によりユーザーデータが長期間にわたって漏洩する恐れがありました。アカウントを登録された方は、メールアドレス、氏名、生年月日、国籍などの情報が流出している可能性があるとお考えください。アプリを装ったフィッシング詐欺にご注意ください。特に、バチカン関連サービスを名乗るメッセージで、クリック、確認、ログインを求められる場合は、十分ご注意ください。
これは特に重要な点です。なぜなら、BobDaHacker氏も、このサービスからのメールが標準的なメール認証チェックに合格しなかったと報告しているからです。これらのチェックは、受信側のメールプロバイダが、メッセージが本当にそのドメインから送信されたものかどうかを確認するのに役立ちます。研究者によると、これによりフィッシング攻撃者が組織になりすますことが容易になる可能性があるとのことです。
あなたの氏名、住所、電話番号は、すでに販売されている可能性があります。
データブローカーは、個人情報を収集し、対価を支払う者なら誰にでも販売しています。Malwarebytes Personal Data Remover 、そうしたブローカーをPersonal Data Remover 個人情報を削除し、その後も監視を続けることで、情報が再び流出しないようにします。
