Aplikacja do modlitwy uruchomiona przez papieża Franciszka w 2019 r. zawierała lukę w zabezpieczeniach, która ujawniła dane osobowe setek tysięcy użytkowników. W tym roku w końcu udało się ją naprawić.
Aplikacja Click To Pray została opracowana przez agencję La Machi Communication for Good Causes dla Papieskiej Światowej Sieci Modlitwy. Papież Franciszek poparł tę usługę i miał w niej konto. Aplikacja oferuje „cyfrową wspólnotę modlitwy”, prowadząc ludzi przez trzy modlitwy dziennie.
W styczniu tego roku niezależny badacz BobDaHacker odkrył lukę w punkcie końcowym API aplikacji. API to usługa online, która odpowiada na żądania danych. Zazwyczaj tylko aplikacja mobilna powinna wysyłać takie żądania, a API powinno zwracać wyłącznie informacje o konkretnej osobie korzystającej z tej aplikacji. Jednak BobDaHacker odkrył, że udostępnia informacje o dowolnym użytkowniku aplikacji każdemu, kto o to poprosi.
Aplikacje zazwyczaj wysyłają zapytania do punktu końcowego, wysyłając mu konkretny identyfikator osoby z niego korzystającej. W tym przypadku identyfikatory te były po prostu kolejnymi liczbami. Według BobDaHackera, dla aplikacji zarejestrowanych było 719 517 identyfikatorów, co oznacza, że w systemie przechowywano informacje o ponad 700 000 użytkowników.
Problem polegał na tym, że API nie sprawdzało, czy osoba żądająca rekordu faktycznie posiadała uprawnienia do jego przeglądania. Każdy mógł poprosić o informacje o dowolnym identyfikatorze, od 1 do 719 517. API zwracało wówczas rekord tego użytkownika, w tym:
- Adres e-mail
- Imię i nazwisko
- Kraj
- Data urodzenia
Ten rodzaj luki znany jest jako Insecure Direct Object Reference (IDOR) i widzieliśmy go już wcześniej. Aplikacja typu stalkerware TheTruthSpy została odkryta w 2022 roku, ujawniając dane swoich ofiar za pośrednictwem luki IDOR, i nadal nie została naprawiona dwa lata później. Serwer WWW urządzenia GPS do śledzenia pojazdów MiCODUS MV720 również miał lukę w zabezpieczeniach w 2022 roku, narażając 1,5 miliona osób na niebezpieczeństwo.
Sytuację pogorszyła druga wada w API Click To Pray. Gdy użytkownicy rejestrują się w aplikacji, usługa zazwyczaj wysyła na ich adres e-mail link zawierający unikalny kod znany jako hash walidacyjny. Kliknięcie linku dowodzi, że mają dostęp do skrzynki odbiorczej, a zatem są właścicielami adresu e-mail, na który się zarejestrowali.
Niestety, API Click To Pray zwróciło również hash walidacyjny w odpowiedzi, gdy ktoś kliknął link weryfikacyjny. Odpowiedzi te można łatwo sprawdzić za pomocą narzędzi programistycznych przeglądarki internetowej, co oznacza, że atakujący mógłby zarejestrować konto przy użyciu adresu e-mail, którego nie kontrolował, i zweryfikować je, zanim prawdziwy właściciel konta w ogóle zobaczyłby e-mail weryfikacyjny.
Sześć miesięcy, dziewięć kontaktów, zero odpowiedzi
BobDaHacker po raz pierwszy zgłosił błąd 3 stycznia 2026 roku, wysyłając e-maile na dziewięć adresów obejmujących usługę Click To Pray, Papieską Światową Sieć Modlitwy oraz ogólny adres informacyjny. Nie otrzymał odpowiedzi. Błąd został naprawiony dopiero ponad sześć miesięcy później, po tym jak badacz skontaktował się z dziennikarzem, który zwrócił się z zapytaniem do Watykanu.
Odpowiedzialne ujawnianie informacji działa tylko wtedy, gdy odbiorca ma sprawny proces przyjmowania zgłoszeń. Dziewięć nieodpowiedzianych e-maili było wyraźnym sygnałem, że taki proces nie istnieje.
To nie pierwsza luka w zabezpieczeniach aplikacji watykańskiej
To nie pierwsza luka w zabezpieczeniach aplikacji watykańskiej. W 2019 roku brytyjska firma Fidus Information Security odkryła lukę w aplikacji watykańskiego urządzenia Bluetooth eRosary. Aplikacja nie używała konwencjonalnego hasła do logowania. Zamiast tego użytkownicy wpisywali swój adres e-mail, a aplikacja wysyłała na ten adres czterocyfrowy kod PIN. Następnie wpisywali ten kod, aby się zalogować.
Jednak gdy użytkownik wpisał swój adres e-mail, aplikacja również zwracała kod PIN w postaci zwykłego tekstu w odpowiedzi internetowej. To umożliwiło atakującemu przejęcie konta dowolnej osoby poprzez samo sprawdzenie odpowiedzi.
Ta luka była podobna do problemu z weryfikacją konta, który BobDaHacker odkrył ponad sześć lat później. Chociaż incydenty dotyczyły różnych aplikacji, pokazują, jak ten sam typ błędu bezpieczeństwa może pojawić się ponownie w odstępie lat.
BobDaHacker zauważył również, że Państwo Watykańskie wprowadziło 30 kwietnia 2024 r. własne rozporządzenie o ochronie danych , Dekret nr DCLVII. Rozporządzenie wymaga odpowiednich zabezpieczeń danych osobowych. Nie jest jednak jasne, czy dotyczy ono bezpośrednio Click To Pray, czy organizacji, które nim zarządzają.
Co użytkownicy mogą teraz zrobić
Na szczęście ktoś po stronie watykańskiej naprawił te luki, ale luka ta spowodowała, że dane użytkowników były narażone na długi czas. Jeśli zarejestrowałeś konto, załóż, że Twój adres e-mail, imię i nazwisko, data urodzenia i kraj mogą być potencjalnie w obiegu. Uważaj na phishing odwołujący się do aplikacji i zachowaj szczególną ostrożność w przypadku wiadomości rzekomo pochodzących od serwisów powiązanych z Watykanem, które proszą o kliknięcie, weryfikację lub zalogowanie.
Jest to szczególnie istotne, ponieważ BobDaHacker poinformował również, że wiadomości e-mail z tej usługi nie przeszły standardowych kontroli uwierzytelniania. Te kontrole pomagają dostawcom poczty elektronicznej zweryfikować, czy wiadomość rzeczywiście pochodzi z domeny, którą rzekomo reprezentuje. Według badacza, może to ułatwić atakującym podszywanie się pod organizację.
Twoje imię i nazwisko, adres oraz numer telefonu mogą już być na sprzedaż.
Firmy zajmujące się handlem danymi gromadzą i sprzedają Twoje dane osobowe każdemu, kto jest skłonny za nie zapłacić.Personal Data Remover Malwarebytes Personal Data Remover je i usuwa Twoje dane, a następnie czuwa nad tym, by tak pozostało.
