バチカンの公式「Click to Pray」プラットフォームで発見された重大なアクセス制御の脆弱性により、70万件を超えるユーザーの個人情報が露出していました。基本的なWebセキュリティの設定ミスが、大規模なユーザーベースを依然として危険にさらし続けていることを改めて示す事例です。
Softwarevulnerability database
教皇の「世界祈祷ネットワーク」が運営するこのサービスは、Web版・iOS版・Android版を通じて、日々の祈りや教皇関連コンテンツを配信する目的で世界中で広く利用されています。
問題の核心にあるのは、安全でない直接オブジェクト参照(IDOR)の脆弱性です。これはアクセス制御の不備の中でも最も一般的な形態のひとつです。
露出していたAPIエンドポイントにクエリを送るだけで、認証を受けていないユーザーでも、連番のユーザーIDを順に指定するだけでアカウント記録を列挙できる状態でした。
認証や認可のチェックが一切行われておらず、このアプリケーションは事実上、ユーザーデータが誰でも閲覧できる公開ディレクトリと化していました。
Dark Reading社が実施した技術的検証によると、露出していたエンドポイントからは、氏名、メールアドレス、数値形式の国識別コードなどの個人を特定できる情報(PII)を取得できたということです。
このデータセットからは、アカウントのステータス(有効か削除済みか)や権限レベルといった内部メタデータも判明し、一般ユーザーと管理者・スタッフアカウントを区別することができました。
特に、ユーザーID番号が小さいアカウントは組織のスタッフに紐づいていたため、標的型攻撃のリスクが一段と高まる状況でした。
研究者BobDaHackerが発表した元のリサーチでは、この悪用がいかに容易だったかが詳しく説明されています。予測可能な構造のAPIに対してブラウザからリクエストを送るだけで、それ以上の手順は一切不要だったのです。
この単純さゆえに悪用のハードルは大幅に下がり、簡単なスクリプト技術だけで大量のデータ収集が可能な状態でした。
責任ある開示の取り組みが行われたにもかかわらず、報告時点でこの脆弱性は依然として修正されていませんでした。
Dark Reading社の研究者によると、1月に独立系研究者のBobDaHackerによって発見されたこの脆弱性は、Click to PrayのWebアプリケーション(clicktopray.org)およびそれに関連するモバイルプラットフォームに影響を及ぼしているとのことです。
Dark Reading社は、世界祈祷ネットワークと開発を手がけたLa Machi社の双方に対して修正対応の調整を試みましたが、いずれも実を結ばず、このエコシステムにおける脆弱性対応の成熟度に懸念が生じています。
バチカン祈りアプリのアカウント問題
攻撃の観点から見ると、その影響は甚大です。露出したデータセットは、特に宗教的な信頼と組織的な権威を悪用する高度な標的型フィッシングキャンペーンを可能にしかねません。
攻撃者はバチカンの公式連絡を装い、悪意あるリンクや認証情報を窃取するページを大規模に配布する可能性があります。
過去の事例では、流出したPIIデータセットを悪用した大規模なソーシャルエンジニアリング攻撃で、侵害されたユーザーディレクトリが利用されたキャンペーンが確認されています。
この問題は、業界が抱えるより広範な課題も浮き彫りにしています。IDORの脆弱性はOWASP Top 10の「アクセス制御の不備」カテゴリーに分類され、2021年以降、Webアプリケーションにおける最も重大なリスクであり続けています。
Softwarevulnerability database
TechTargetの分析によると、現代のフレームワークは通常、認証は確実に強制する一方で、認可のロジックは開発者に委ねられていることが多く、機微なリソースへの保護が不十分になる隙が生まれるということです。
今回のケースでは、アプリケーションはユーザーがログインしているかどうかは正しく識別していたものの、そのユーザーが特定の記録にアクセスする権限を持っているかどうかを検証できていませんでした。
この違いは微妙でありながら極めて重要であり、これが見落とされることが、各業界で相次ぐ大規模な情報露出インシデントの一因となり続けています。
ただし、一部のユーザーは結果的に自らの被害を軽減できていたことがうかがえます。Dark Reading社の調査によると、AppleのHide My Email機能や仮名の識別子など、匿名化された登録情報を使用していたユーザーは、今回の流出があったにもかかわらず、実際の身元を効果的に守ることができていました。
これは、必須ではないアプリケーションでは実際の個人情報の使用を最小限に抑えるべきだという、より広範なプライバシー保護の推奨事項とも一致しています。
このインシデントは、より広範なAPIセキュリティの失敗パターンともつながっています。マイクロサービスやモバイルバックエンドへの依存が高まるにつれ、この分野は攻撃者にますます狙われるようになっています。
エンドポイントセキュリティのリスクやランサムウェアによるゼロデイ脆弱性の悪用に関する報道も含め、最近の報道は、見過ごされがちなAPI保護がいかにして、より大規模な攻撃キャンペーンの侵入口となり得るかを浮き彫りにしています。
2026年、AI SOCが備えるべき機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/vatican-prayer-app-accounts/
