Click to Pray, l’application officielle de prière du Vatican, expose les informations personnelles de plus de 700 000 utilisateurs à cause d’une faille de contrôle d’accès. Les données peuvent être consultées depuis un navigateur, sans authentification ni compétence technique particulière.
La vulnérabilité a été découverte en janvier par le chercheur en sécurité BobDaHacker. Elle était toujours exploitable au moment de la publication de l’enquête, malgré plusieurs tentatives de signalement auprès des responsables de la plateforme.
L’application officielle de prière du Vatican
Disponible sur le Web, iOS et Android, Click to Pray permet aux fidèles de recevoir des prières quotidiennes et des contenus liés au pape. Le service appartient au Réseau Mondial de Prière du Pape, une fondation internationale du Vatican, et a été développé par l’agence de communication La Machi.
Une faille IDOR permet d’énumérer tous les comptes
Le problème provient d’une interface API qui renvoie les données d’un compte à partir de son identifiant numérique. Ces identifiants étant attribués de manière séquentielle, il suffit de modifier le numéro dans la requête pour consulter le profil suivant.
Cette vulnérabilité, appelée IDOR, repose sur l’absence de vérification des autorisations : le serveur affiche une ressource sans contrôler si la personne qui la demande a réellement le droit d’y accéder.
Noms et adresses e-mail accessibles en clair
Les informations exposées comprennent notamment :
- nom et prénom ;
- adresse e-mail en clair ;
- pays déclaré lors de l’inscription ;
- statut actif ou supprimé du compte ;
- rôle et éventuels privilèges administratifs.
Les premiers identifiants correspondent également à des salariés et administrateurs du Réseau Mondial de Prière du Pape. Aucun mot de passe n’est annoncé comme exposé.
Un fichier récupérable avec un simple script
Un attaquant peut automatiser la modification des identifiants et aspirer l’ensemble des profils en quelques requêtes. La faiblesse ne nécessite donc ni intrusion complexe ni compromission préalable d’un compte.
Des fidèles exposés à des arnaques ciblées
La nature religieuse du service rend les données particulièrement exploitables pour l’ingénierie sociale. Des escrocs pourraient se faire passer pour le Vatican ou pour le réseau de prière afin d’envoyer des messages très crédibles.
- fausses demandes de dons ;
- phishing au nom du Vatican ;
- messages frauduleux utilisant la foi des victimes ;
- harcèlement ciblé selon le pays ou l’appartenance religieuse supposée ;
- attaques contre les comptes administrateurs identifiés.
Une faille toujours ouverte malgré les signalements
Les responsables de Click to Pray et l’agence ayant développé l’application n’avaient pas corrigé publiquement la vulnérabilité au moment de l’enquête. L’incident rappelle qu’une organisation collectant les données de centaines de milliers de personnes doit appliquer les mêmes exigences de sécurité qu’une entreprise technologique.