バチカン公式祈祷アプリ、7万人超のユーザーの個人情報を漏洩

バチカンの人気ウェブサイトおよびモバイルアプリが、数十万人ものユーザーの氏名とメールアドレスを漏洩させていたことが分かりました。

「Click to Pray」はバチカンの公式祈祷アプリです。ユーザーはこのアプリに登録することで、日々の祈りの言葉や、教皇関連のコンテンツを継続的にスマートフォンやパソコンで受け取ることができます。iOSおよびAndroid向けに提供されているほか、ウェブブラウザからも利用可能です。同アプリの公式サイトによると、Click to Prayは地球上のほぼすべての国で利用されているとのことです。

2026年1月、ホワイトハットハッカーの「BobDaHacker」氏が、clicktopray.orgに安全でない直接オブジェクト参照(IDOR)の脆弱性を発見しました。インターネット上の誰もが、完全に無防備な状態にある特定のアプリケーションプログラミングインターフェース(API)エンドポイントに問い合わせるだけで、Click to Prayの全アカウント保有者、さらには同アプリを運営する組織「教皇の世界祈りのネットワーク」の現役職員に関する基本的な個人を特定できる情報(PII)を閲覧できる状態になっていました。

Dark Readingは独自にこの脆弱性を検証し、その存在を確認しました。同誌は「教皇の世界祈りのネットワーク」に連絡を取り、独立系ハッカーが問題を修正できるよう働きかけようとしましたが、うまくいきませんでした。そこで次に、同アプリの設計・開発を手がけた通信会社La Machiにコメントを求めましたが、本稿執筆時点ではまだ回答を得られていません。

Click to Leak(漏洩へのクリック)

Click to Prayでアカウントを登録するには、氏名、メールアドレス、パスワードの入力が必要で、出身国については任意で入力できるようになっています。裏側では、アカウント作成時にユーザーごとに連番のユーザーIDが割り当てられます。

残念なことに、このウェブサイトはAPIエンドポイントを外部に公開しており、これが誰に対しても認証なしにユーザー情報を漏洩させてしまう状態になっていました。攻撃者がこのエンドポイントを発見し、任意のユーザーIDを指定するだけで、サイトの一般ユーザーだけでなく、管理者や職員のアカウントも含めて、いくらでも列挙できてしまいます。

Dark Readingは、この問題が本稿公開時点でも依然として解消されていないことを確認しています。悪用に技術的なスキルは一切不要で、ブラウザのアドレスバーに単一のドメインを入力するだけで済んでしまいます。70万件を超えるユーザーアカウントの情報が自由に閲覧可能な状態にあり、番号の若いユーザーIDはClick to Prayの職員に割り当てられています。メールアドレスと氏名は平文のまま漏洩しており、出身国は数値で管理されています。また各レコードには、該当アカウントが削除済みかどうか、管理者権限を持っているかどうか(権限を持たないアカウントには「PRAYER」というロールが割り当てられています)も表示されます。

攻撃者であれば、簡単なスクリプトを使うだけでこれらのデータをすべて収集できてしまいます。そうなれば、「教皇の世界祈りのネットワーク」を装ってサイトの全ユーザーに一斉にメールを送りつけたり、被害者の信仰心につけ込んでソーシャルエンジニアリングを仕掛けたりすることも、たやすくできてしまうでしょう。

脆弱なアプリから身を守る方法

BobDaHacker氏は、このような問題を抱えているのは教皇だけではないと認めています。

「IDORは非常にありふれた脆弱性です。アクセス制御の不備は2021年以降、OWASP Top 10で常に脆弱性カテゴリの第1位を占めており、おそらくIDORはその中で最も一般的な形態と言えるでしょう。私はあらゆる業界、あらゆる技術スタック、あらゆる規模の企業で、繰り返しこの問題を目にしています」と同氏は述べています。

開発者が繰り返しこの落とし穴にはまってしまう理由について、同氏は次のように説明しています。「ほとんどのフレームワークは認証(オーセンティケーション)を自動的に処理してくれますが、認可(オーソライゼーション)までは面倒を見てくれません。フレームワークは『このユーザーはログインしているか』はチェックしてくれますが、『このユーザーがこの特定のリソースを閲覧してよいか』まではチェックしてくれないのです。この2つ目のチェックは開発者自身が実装しなければならず、スピード重視で機能を作り込んでいる最中には、うっかり見落としがちなポイントです」。

ユーザー側は、アカウント登録時に提供する情報を匿名化することで、安全性の低いアプリを利用することによる最悪の事態から自分の身を守ることができます。実際にDark Readingが確認したところ、Click to Prayの多くのユーザーは、アカウント登録の際に省略した名前や英数字混じりのハンドルネームを使用していました。また、Appleデバイスを使って登録し、Appleの「メールを非公開」機能を利用しているユーザーも多く見受けられました。この機能を使うと、実際のメールアドレスの代わりに意味のないランダムな中継用アドレスがサイトに渡され、そこから本物のアドレスへ転送される仕組みになっています。その結果、こうしたユーザーについては、このサイトの漏洩したエンドポイントを通しても、メールアドレスはおろか氏名すらハッカーの手に渡らずに済んでいます。

技術系ではない組織のセキュリティ

Click to Prayは、スペイン語圏の中堅コミュニケーション会社であるLa Machi Communication for Good Causesが設計・開発しました。同アプリは、バチカンの世界的な財団組織である「教皇の世界祈りのネットワーク」の所有物です。

宗教団体やブティック型のコミュニケーション企業は、一般的にサイバーセキュリティに対する意識が特別高い部類の組織ではありません。基本的なサイバーセキュリティ上の脆弱性が生じるのは、ある意味当然のこととも言えるでしょう。ですが、BobDaHacker氏は次のように指摘します。「数十万人分ものユーザーの個人データを扱う組織には、それがテック企業であろうと教会であろうと関係なく、そのデータを保護する責任があります。70万人分ものメールアドレス、氏名、生年月日を収集しているのであれば、好むと好まざるとにかかわらず、あなたはデータの管理者(カストディアン)なのです。あなたの組織の理念がどうであろうと、その事実は変わりません」。

皮肉なことに、バチカンは2024年4月30日付で、法令第DCLVII号として、独自の個人データ保護規定をすでに発表していました。Dark Readingがイタリア語の原文を翻訳して確認したところ、そこには「個人データ保護という目的を達成するための適切なセキュリティ対策」の必要性や、リスク分析、「セキュリティ対策の実施権限を持つ担当者」、セキュリティ責任者への問題報告プロセスなどについて言及する規定が数多く盛り込まれていました。

しかし、こうした自主規制がこれまでのところ効果を上げていないのは明らかです。それでは、セキュリティ意識が未成熟な組織を、許容できる最低限の水準にまで引き上げるには、一体何が必要なのでしょうか。

「私が思うに、答えはセキュリティの基本をあまりに身近で当たり前のものにしてしまい、セキュリティ担当の窓口を持たないことが、お問い合わせページを持たないのと同じくらい不自然に感じられるようにすることだと思います」とBobDaHacker氏は語ります。「まだそこまでは到達していません。ですが、こうした事例が明るみに出るたびに、少しずつ状況は前進しているのです」。