Vatikan ignorisao hakera: Papina aplikacija ugrozila 700.000 ljudi

Click To Pray je zvanična aplikacija Papine svetske mreže molitve i povezuje katolike širom sveta kako bi se molili za svakodnevne namere pape Lava XIV. Naravno, takva vrsta podrške privukla je više od 719.000 naloga i naginje ka starijoj i pobožno nesumnjičavoj publici – upravo onoj grupi koju bi ovakav bezbednosni propust prvi pogodio.

Istraživač sajber-bezbednosti pod nadimkom BobDaHacker, ranije poznat po tome što je otkrio propust za besplatnu hranu u McDonald's-u, pronašao je ovu rupu još u januaru i prijavio je direktno operaterima aplikacije.

Propust je ostao aktivan šest meseci, sve dok ga bezbednosni portal Dark Reading nije nezavisno potvrdio i objavio sopstveni izveštaj. Pristupna tačka (endpoint) tiho je ograničena nekoliko dana kasnije, iako niko iz Papine svetske mreže molitve nikada nije odao priznanje BobDaHacker-u što ju je pronašao.

Ova ranjivost se zove IDOR, što je tehnički skraćeni naziv za sistem koji je davao podatke svakome ko ih zatraži, bez provere da li ima pravo da im pristupi.

Ako biste zatražili podatke svog naloga, aplikacija bi vam ih dala – tu nema iznenađenja. Ali ako biste promenili samo jedan broj u veb-adresi i zatražili tuđe podatke, dala bi i njih, bez traženja prijave, verifikacije ili bilo kojih drugih koraka. Ta jedna jedina mana bila je dovoljna da bilo ko tiho prođe kroz čitavu bazu korisnika i usput prikupi imena, imejl-adrese, države i datume rođenja.

Pored toga, sam proces registracije vraćao je tačan verifikacioni kod potreban za potvrdu novog naloga, pa je bilo ko mogao da se registruje sa tuđom imejl-adresom i potvrditi je pre nego što prava poruka uopšte stigne. Kada to povežete sa korisnicima koji su uglavnom stariji i veruju svemu što nosi pečat Vatikana, potencijal za fising (phishing) napade brzo je postao mračan.

Kako je BobDaHacker rekao: "Baka će kliknuti na to. Svaki put". Uprkos tome što je propust izašao u javnost i što su pokušaji kontaktiranja trajali mesecima, rupa je ostala aktivna sve do kraja jula 2026. godine, kada je tiho zakrpljena, bez ijedne reči priznanja poslate BobDaHacker-u.

Ništa od ovoga nije novo. Jedan jutjuber našao se u sličnoj situaciji prošle godine, kada je bezbednosni istraživač upao u njegovu novu aplikaciju za prevođenje kako bi ukazao na njene mane, umesto da čeka da kompanija sama to primeti.