ローマ教皇庁がリリースしたお祈りアプリ「Click to Pray」に、全ユーザーの名前とメールアドレスを確認できてしまう不具合が存在することが分かりました。この脆弱(ぜいじゃく)性を発見したセキュリティ研究者は関係者に報告していましたが、6カ月以上なんの音沙汰もなかったとのことです。

Click to Pray, Click to Leak: The Pope's Official App Exposes 700,000+ User Emails | bobdahacker

https://bobdahacker.com/blog/click-to-pray



Security flaw in Vatican’s ‘Click to Pray’ app leaves over 700,000 global users exposed - app has been leaking user data for over six months and still does | Tom's Hardware

https://www.tomshardware.com/tech-industry/cyber-security/security-flaw-in-vaticans-click-to-pray-app-leaves-over-700-000-global-users-exposed-app-has-been-leaking-user-data-for-over-six-months-and-still-does

Click to Prayは「毎日3つの短い祈りの時間を提供し、イエスと出会い、教皇の意向のために祈るよう促す」という機能を持つアプリです。このアプリにハッカーがユーザー情報と出会える脆弱性が存在することをBobDaHackerというセキュリティ研究者が発見しました。

BobDaHacker氏によると、APIエンドポイントでユーザーIDを入力するだけで、誰でもユーザーデータにアクセスできる状態だったといいます。Click To Prayアプリのデータベースから誰でも取得できた情報には、姓・名、メールアドレス、生年月日などが含まれていました。

さらに、ユーザー一覧全体を自動的に取得することも容易だったそうです。BobDaHacker氏によると、新規アカウントに割り当てられるユーザーIDは連番であり、APIにはレート制限も存在しないため、ユーザーごとにGETリクエストを1回送るだけで、すべての情報を収集できたとのこと。また、アカウント登録の有効性を確認するために使用される値「validation_hash」も平文で保存されており、APIへアクセスできる人であれば、受信トレイを開くだけでアカウントを認証できる状態でした。さらに、送信されるメール自体にもセキュリティ上の問題があり、正規のメールであってもフィッシングメールのように見えてしまう状態でした。



BobDaHacker氏は脆弱性を発見した後すぐ関係者へメールで報告しましたが、返答は一切なく、6カ月経っても何の改善も見られなかったとのこと。その後、この件が記事として公開されると、ようやくアプリのセキュリティ上の問題は修正されました。ただ、アプリ開発元からBobDaHacker氏に対する謝意や謝辞が示されることはありませんでした。

Click To Prayには約72万件のアカウントが存在しているとされています。BobDaHacker氏は「このアプリの利用者の多くはテクノロジーに詳しくない高齢者である可能性が高く、悪質な詐欺師にとっては大量のメールアドレスを入手できる宝の山になり得ます」と指摘しました。

なお、Click To Prayはリリース当初の2019年にもメールアドレス等を閲覧できる脆弱性が露呈したことがあります。

いつでも祈れるスマートロザリオ用アプリは超絶簡単にハッキングできたことが判明 - GIGAZINE