2019年にローマ教皇フランシスコが立ち上げた祈りアプリに、セキュリティ上の欠陥が存在していたことが分かりました。この欠陥により、何十万人ものユーザーの個人情報が外部に晒される状態が続いていましたが、今年になってようやく修正されました。
このアプリ「Click To Pray」は、教皇の「世界祈祷ネットワーク」向けに、La Machi Communication for Good Causesが開発したものです。教皇フランシスコ自身もこのサービスを支持し、アカウントを保有していました。アプリは毎日3つの祈りをユーザーに案内する形で、「デジタルの祈りのコミュニティ」を提供しています。
今年1月、独立系研究者のBobDaHacker氏が、このアプリのAPIエンドポイントに欠陥があることを発見しました。APIとは、データ要求に応答するオンラインサービスのことです。通常であれば、こうした要求を送信できるのはモバイルアプリのみに限られ、APIもそのアプリを使用している本人の情報しか返さないはずです。しかしBobDaHacker氏によると、実際には誰が要求しても、アプリの任意のユーザーに関する情報が返される状態になっていました。
アプリが通常エンドポイントに問い合わせる際には、使用者を示す固有のIDが送信されます。今回の場合、そのIDは単純な連番でした。BobDaHacker氏によると、このアプリには719,517件の登録IDが存在しており、つまり70万人を超えるユーザーの情報がシステムに保存されていたことになります。
問題は、APIが記録を要求してきた相手に、その記録を閲覧する権限が本当にあるかどうかを確認していなかった点です。1から719,517までのいずれのIDについても、誰でも情報を要求できてしまい、APIは以下を含むユーザー記録をそのまま返していました。
- メールアドレス
- 氏名
- 国
- 生年月日
この種の欠陥は「安全でない直接オブジェクト参照(IDOR)」と呼ばれるもので、過去にも例があります。ストーカーウェア型アプリのTheTruthSpyは、2022年にIDOR脆弱性を通じて被害者の詳細情報が流出していることが判明しており、2年後になってもなお修正されていませんでした。また、車両追跡用GPS機器「MiCODUS MV720」のWebサーバーにも2022年に同様の脆弱性が存在し、150万人が危険に晒されていました。
Click To PrayのAPIに存在した2つ目の欠陥は、事態をさらに悪化させるものでした。通常、アプリに登録すると、そのユーザーのメールアドレス宛に「検証ハッシュ」と呼ばれる固有コードを含むリンクが送信されます。このリンクをクリックすることで、そのメールボックスへのアクセス権を持っている、すなわち登録したメールアドレスの所有者本人であることが証明される仕組みです。
ところが、Click To Prayでは、検証リンクをクリックした際のAPIの応答にも、この検証ハッシュがそのまま含まれていました。この応答はWebブラウザの開発者ツールを使えば容易に確認できるため、攻撃者は自分が管理していないメールアドレスを使ってアカウントを登録し、本来の持ち主が検証メールを目にするより先に、そのアカウントを検証済みにしてしまうことが可能でした。
BobDaHacker氏は2026年1月3日にこの不具合を最初に報告し、最終的にはClick To Prayサービス、世界祈祷ネットワーク、および一般問い合わせ用のアドレスにまたがる9件のメールアドレスに連絡しました。しかし返信は一切得られませんでした。この欠陥が修正されたのは、それから半年以上が経過し、同氏がジャーナリストに連絡を取り、そのジャーナリストがバチカンに問い合わせを行った後のことでした。
責任ある開示という仕組みは、受け取る側にきちんと機能する受付プロセスが存在して初めて成り立ちます。9通ものメールに一切返信がなかったという事実は、そうしたプロセスがそもそも存在していなかったことを強く示しています。
バチカンのアプリで発覚したセキュリティ上の欠陥はこれが初めてではない
バチカン関連のアプリでセキュリティ上の欠陥が見つかったのは、今回が初めてではありません。2019年には、英国のセキュリティ企業Fidus Information Securityが、バチカンのBluetooth対応ロザリオ端末向けアプリに欠陥があることを発見していました。このアプリはログインに従来型のパスワードを使用しておらず、ユーザーがメールアドレスを入力すると、そのアドレス宛に4桁のPINコードが送信され、そのPINを入力してログインする仕組みになっていました。
ところが、ユーザーがメールアドレスを入力した際、アプリはそのPINを平文のままWebの応答に含めて返していました。そのため、攻撃者はこの応答を確認するだけで、誰のアカウントでも乗っ取ることができてしまう状態でした。
この欠陥は、それから6年以上後にBobDaHacker氏が発見したアカウント検証の問題と酷似しています。両者は異なるアプリで発生した事案ではあるものの、同種のセキュリティ上のミスが何年もの間隔を経て繰り返され得ることを物語っています。
BobDaHacker氏はまた、バチカン市国が2024年4月30日に、独自のデータ保護規則である「決議第DCLVII号」を制定していたことも指摘しています。この規則では、個人データに対する適切な保護措置を講じることが求められています。しかし、この規則がClick To Prayやそれを運営する組織に直接適用されるかどうかは明らかになっていません。
ユーザーが今すぐできる対策
幸いにも、バチカン側の担当者によってこれらの欠陥は現在修正されていますが、この脆弱性によってユーザーデータは長期間にわたり外部に晒される状態にありました。もしこのアプリにアカウントを登録したことがある場合は、自分のメールアドレス、氏名、生年月日、国籍が外部に流出している可能性があると考えておくべきです。このアプリに言及するフィッシングメールには十分注意し、バチカン関連サービスを名乗ってクリック・検証・ログインを求めてくるメッセージには、特に懐疑的な姿勢で臨んでください。
この点は特に重要です。というのも、BobDaHacker氏は、このサービスから送信されるメールが標準的なメール認証チェックを通過していなかったことも報告しているからです。こうしたチェックは、受信側のメールプロバイダーが、そのメッセージが本当に名乗っているドメインから送られてきたものかどうかを検証するのに役立つ仕組みです。同研究者によれば、この不備により、フィッシング攻撃者がこの組織になりすましやすい状況が生まれていた可能性があるとのことです。
あなたの氏名、住所、電話番号は、すでに売買の対象になっているかもしれません。
データブローカーは、対価を支払う相手であれば誰にでも、あなたの個人情報を収集・販売しています。Malwarebytes Personal Data Removerは、そうした情報を見つけ出して削除し、その後も継続的に監視することで、削除された状態を維持します。
