Watykan ma problem. Oficjalna aplikacja modlitewna i ogromny wyciek
Watykan boryka się z dużymi problemami. Kłopot dotyczy tematu, który jest na styku wiary i cyberbezpieczeństwa.
Ogromny wyciek danych w Watykanie
Click To Pray, czyli oficjalna aplikacja modlitewna założona w ramach Światowej Sieci Modlitwy Papieża, padła ofiarą wielkiego naruszenia cyberbezpieczeństwa. Światowa Sieć Modlitwy Papieża to wspólnota katolicka, istniejąca od 1844 roku, a od 2014 roku ma ona własną aplikację umożliwiającą wiernym modlenie się i branie udziału w "zgamifikowanych" wyzwaniach dla członków wspólnoty. Na przykład może być to wypełnianie wyzwań wyznaczonych przez papieża na dany miesiąc jako modlitwy, czy też korzystanie z gotowych harmonogramów modlitw przeznaczonych na konkretną porę dnia albo odbieranie próśb z intencjami o modlitwy dla innych członków wspólnoty.
Watykańska aplikacja niestety miała nieszczelne zabezpieczenia, z tzw. luką typu "zero security", którą odnalazł badacz ds. cyberbezpieczeństwa o pseudonimie BobDaHacker w styczniu 2026 r.
Click To Pray pozwalał na wydobycie danych użytkowników przez API aplikacji przy użyciu ich numerów identyfikacyjnych.
Badacz wysłał e-maile do dziewięciu osób w sprawie luk w zabezpieczeniach, gdy tylko je odkrył, ale nie otrzymał żadnej odpowiedzi i przez sześć miesięcy nie zauważył żadnych zmian.
Informacje, które każdy mógł uzyskać z bazy danych aplikacji Click To Pray, obejmowały imiona i nazwiska, adresy e-mail oraz daty urodzenia, a także inne dane. Niby niewiele, ale zdobycie imion, nazwisk i adresów e-mail w zupełności wystarczy, by cyberprzestępcy mogli rozsyłać e-maile phishingowe do podatnych na oszustwa użytkowników. A stąd już niedaleko droga do wyłudzeń finansowych. BobDaHacker zwrócił też uwagę, że większość użytkowników aplikacji to prawdopodobnie osoby starsze, niezbyt biegłe w technologii, więc dla przedsiębiorczego oszusta baza ta była istną skarbnicą adresów e-mail.
Automatyczne zdobycie całej listy było równie łatwe. ID użytkownika przypisywane nowym kontom jest sekwencyjne, a ponieważ API nie ma żadnego limitu zapytań, wystarczyło jedno zapytanie GET na użytkownika, by zdobyć wszystkie te dane. Poza tym parametr "validation_hash", służący do weryfikacji poprawności rejestracji konta, również był przechowywany jako niezaszyfrowany ciąg znaków (tekst), co oznacza, że każdy z dostępem do API mógł zweryfikować konto, po prostu zaglądając do czyjejś skrzynki mailowej. Sam e-mail również miał problemy z bezpieczeństwem, przez które wyglądał jak wiadomość phishingowa, mimo że był legalny.
Można by pomyśleć, że aplikacja do modlitwy nie powinna być zbyt atrakcyjnym celem dla cyberprzestępców, zwłaszcza w porównaniu z 16 miliardami kont ujawnionych w jednym z największych wycieków danych (FIDO Alliance) w historii. Jednak fakt, że aplikacja miała niemal 720 000 kont na lipiec 2026 roku, oznacza, że w tej bazie znajduje się mnóstwo potencjalnych celów. Nawet jeśli tylko 1% tych użytkowników da się nabrać na scammera, który pozyskał ich adresy e-mail z aplikacji, to mówimy tu aż o 7000 osób, które mogłyby stracić pieniądze w ten sposób.
BobDaHacker czekał sześć miesięcy na odpowiedź, ale niestety nikt związany z aplikacją nie odniósł się do zgłoszonych obaw. Z tego powodu skontaktował się z Nate’em Nelsonem, dziennikarzem zajmującym się bezpieczeństwem, piszącym dla Dark Reading (który po kontakcie z twórcami aplikacji również nie doczekał się żadnej reakcji), i który opublikował artykuł na ten temat. Dopiero po opublikowaniu tekstu luki w zabezpieczeniach aplikacji zostały załatane, choć BobDaHacker nie doczekał się nawet podziękowania ze strony twórców aplikacji.
