祈りのためのアプリでさえ、他人の秘密を守り切れなかったようです。教皇の「世界祈願ネットワーク」の公式アプリであるClick To Prayが、数十万人分のユーザーの氏名やメールアドレスなどのデータを流出させていたことが分かりました。原因はアクセス制御システムにあった単純な欠陥でした。
この問題を発見したのは、BobDaHackerという名で活動するセキュリティ研究者です。同氏によると、1月3日にサービス運営者へ脆弱性を報告したものの、6か月間まったく応答がなかったとのことです。
広範な利用者数とシンプルな欠陥
Click To Prayは、iOS、Android、Webの各プラットフォームで利用可能です。7か国語に対応しており、ユーザーが教皇の祈りの意向のために心を一つにする助けとなっています。2026年7月時点で、約719,517人がこのサービスに登録していました。
脆弱性の正体は、安全でない直接オブジェクト参照(IDOR)でした。サーバーはアカウント番号を受け取ると、それに紐づく詳細情報を返していました。しかし、リクエストを行った人物が他のユーザーのデータを閲覧する権限を持っているかどうかを、一切確認していなかったのです。
この設計により、悪用は容易でした。登録後、Click To Prayは各ユーザーに連番の数値識別子を割り当てていました。リクエスト内の番号を別の5桁の数字に差し替えるだけで、該当するアカウントの情報を取得できてしまう状態だったと、BobDaHackerは自身の記事で報告しています。
流出したデータの内容
流出した項目は多岐にわたります。メールアドレス、名、姓、国、生年月日、そしてプロフィール削除フラグが含まれていました。
さらに悪いことに、リクエスト回数を制限する仕組みも存在しませんでした。そのため、攻撃者はすべての識別子を順番に試すことで、719,517人分全員のデータを収集できてしまう状態でした。
フィッシングにとって格好の標的
BobDaHackerは、こうしたデータベースは偽メールを作成する者にとって特に魅力的だと指摘しています。このアプリの利用者には高齢者が多く、バチカンや教皇からのメッセージだと称するものを信用してしまう可能性があります。詐欺師にとっては、受信者の氏名や住所といった既知の情報を使い、緊急性を装ってリンクのクリックを促すメッセージを送るだけで済んでしまいます。
さらに2件の脆弱性
この研究者は、登録の仕組みにも問題を発見しています。サーバーは、アカウント確認用の秘密コードをレスポンスの中でそのまま返していました。同じコードは、確認メール内のリンクにも含まれていました。その結果、部外者が他人のメールアドレスを使って登録し、本来のメールボックス所有者より先にプロフィールを確認済みにしてしまうことが可能だったのです。
Click To Pray自体が送信するメールも、さらなるリスクを生んでいました。BobDaHackerのメールクライアントは、正規の確認メールがドメイン認証に失敗しており、偽造されたものである可能性があると警告を出しました。つまり、詐欺目的の偽メールも、公式メールと同程度にしか見分けがつかない可能性があるということです。
翻訳元: https://meterpreter.org/click-to-pray-idor-exposure/
