Vatican : une faute de sécurité massive expose 700 000 utilisateurs
Une faille de sécurité critique a compromis la base de données de la Réseau Mondiale de Prière, l'initiative numérique du Pape, laissant exposées les informations personnelles de plus de 700 000 fidèles, y compris des membres du clergé.
Un hacker éthique dévoile l'ouvrage
Un chercheur en sécurité, identifié uniquement sous le pseudonyme de BobDaHacker, a mis en lumière une vulnérabilité majeure au début de l'année. Sans avoir recours à un piratage sophistiqué, il a exploité un problème d'identification des utilisateurs dans l'API de l'application, permettant ainsi l'accès direct à des données sensibles.
Il s'agissait d'une vulnérabilité IDOR – Insecure Direct Object Reference – extrêmement simple à exploiter. L'application vérifiait l'authentification de l'utilisateur, mais ne validait pas l'identité de celui qui accédait aux données. Un script rudimentaire suffisait alors pour extraire les noms, prénoms, adresses e-mail et pays de chaque participant à la Réseau Mondiale de Prière.
Le vatican, immuable ?
Ironiquement, le Vatican a tardé à réagir. BobDaHacker a alerté les autorités religieuses et la société mère de l'application, La Machi, en janvier. Pourtant, aucune réponse n'est venue. Sept mois plus tard, le chercheur a choisi de révéler publiquement cette faille, espérant ainsi inciter à une correction rapide.
L'application a été corrigée le 24 juillet, mais sans aucun remerciement ni reconnaissance de la part du Vatican. Un décalage flagrant, qui soulève de sérieuses questions sur la gestion des risques et la communication interne.
Risques pour les utilisateurs
Cette faille représente un danger réel pour les 700 000 utilisateurs, dont beaucoup sont des personnes âgées peu familiarisées avec la technologie. Ils pourraient être victimes de tentatives de phishing, visant à les inciter à divulguer d'autres informations personnelles ou financières. La capacité du Vatican à protéger ses fidèles est aujourd'hui remise en question. Il est crucial de souligner que cette faille impacte non seulement les utilisateurs de l'application Click to Pray sur iOS et Android, mais également la version web.
L'affaire est un rappel amère que même les organisations les plus prestigieuses ne sont pas à l'abri des erreurs de sécurité. Et, plus grave encore, que la lenteur de la réaction du Vatican pourrait avoir des conséquences désastreuses pour ses fidèles. Un manque de vigilance qui ne peut être excusé.