セキュリティ
（セキュリティ）聖なるはずが、穴だらけ
ローマ教皇公認で世界中に数十万人のユーザーを抱える祈りアプリ「Click To Pray」が、数か月間、あるいはそれ以上の期間にわたり、ユーザーの氏名とメールアドレスを流出させていたことが分かりました。あるホワイトハットハッカーが、この脆弱性を発見し6か月前に報告したものの、これまで何の対応もなかったと明かしています。このアプリは、個人情報の扱いに関して沈黙の誓いを立て直す必要がありそうです。
7つの言語に対応し、iOS、Android、そしてclicktopray.orgで利用できるこのアプリは、教皇による世界祈祷網（Pope’s Worldwide Prayer Network）の公式アプリです。教皇の祈りの意向のために世界中のユーザーをつなぐ役割を担っており、2026年7月時点で719,517件の登録アカウントを抱えています。
セキュリティ調査を手がけるBobDaHackerによると、このアプリは非常に脆弱で、1月3日にこの脆弱性を発見し、教皇による世界祈祷網に報告したといいます。
「この脆弱性は今も生きたままです」とハッカーは金曜日のブログで述べています。「誰からも返信は一切ありませんでした。どうやら私のメールは、彼らの祈りには含まれていなかったようです」
The Regの読者であれば、BobDaHackerの名前を覚えている方も多いでしょう。彼女は以前、マクドナルドの注文システムにあった無料食事の脆弱性や、中国のロボットメーカーPudu Roboticsの管理機能が無防備だった問題を暴いた実績があります。
今回の新たなセキュリティホールは、この祈りアプリに存在するIDOR（Insecure Direct Object Reference：安全でない直接オブジェクト参照）の欠陥に起因します。これは非常にありふれた、かつ悪用が容易な種類の脆弱性で、ウェブサイトやアプリがユーザー入力を鵜呑みにしてリソースの閲覧や変更を許可し、そのユーザーが実際にそのデータを取得する権限を持っているかどうかを確認しない場合に発生します。
「自分のデータを要求すれば、サーバーはそれを返します」とBobDaHackerは説明します。「他人のデータを要求しても、サーバーは同じようにそれを返してしまいます。どうやら『汝、認可すべからず』というわけです」
Click To Prayでアカウントを登録すると、アプリは連番の数値ユーザーIDを割り当てます。BobDaHackerが発見したところによると、APIエンドポイントGET https://api[.]clicktopray.org/user/users/{id}は、有効な5桁のユーザーIDさえ指定すれば、自分のアカウントに限らずどのアカウントのユーザーデータでも返してしまいます。
認可チェックや所有権の検証は一切行われていません。「番号を1つ増やすだけで、他人のデータが手に入ります」と彼女は書いています。
このデータには、ユーザーのメールアドレス、姓名、国、生年月日、アカウントが削除済みかどうかといった情報が含まれており、このAPIは祈りサイト上の719,517件全てのアカウントを晒す状態になっています。「連番のユーザーIDでレート制限もないため、攻撃者はプラットフォーム上の全アカウントを列挙できてしまいます」とハッカーは説明します。「ユーザー1人につきGETリクエスト1回。for i in range(1, 719518): scrape()。それだけです。それがこの攻撃手法の全てです」
BobDaHackerが指摘するように、こうしたユーザーの多くはおそらく高齢者で、それほどITに詳しくなく、バチカン関連のものであれば何でも強く信頼しがちです。そのため、これらの流出アカウントは「フィッシングの金脈」と化してしまいます。
「『教皇聖下があなたの至急のご対応を求めています』というメールが、バチカンらしく見えるリンク付きで届いたところを想像してください」と彼女は書いています。「おばあちゃんはそれをクリックしてしまいます。毎回、必ずです」
そして、事態はさらに悪化します。
サインアップ用のエンドポイントであるPOST https://api.clicktopray.org/user/users/sign-upは、レスポンスの本文中にアカウントのvalidation_hashをそのまま返しており、この値はメール認証リンクに使われるUUIDと同一のものです。つまり、誰でも任意のメールアドレスを使って登録し、確認メッセージが受信箱に届く前にそのアカウントを認証できてしまうということです。
さらに、BobDaHackerのメールクライアントは、本物の確認メールに対して、送信元ドメインの認証要件を満たしておらず、なりすましや不正な転送の可能性があるという警告フラグを表示したといいます。
「つまり、このAPIが70万件ものメールアドレスをフィッシングに悪用され得る形で流出させているだけでなく、Click To Prayからの本物のメールそのものが、既にフィッシングメールのように見えてしまっているのです」とハッカーは指摘します。「攻撃者は大した労力をかける必要すらありません。ピクセル単位で完璧なフィッシングメールを送信できてしまいますし、その認証レベルは本物のメールと同じ、つまり『認証なし』なのですから。神の御業は、まこと不可思議なものです」
The Registerは教皇による世界祈祷網に問い合わせを行いましたが、返答は得られませんでした。BobDaHackerも、返答があることを今なお祈り続けているといいます。®
