L’application de prière du pape expose les données de plus de 700 000 utilisateurs

L’application officielle de prière du pape a laissé accessibles pendant plusieurs mois les renseignements personnels de plus de 700 000 utilisateurs. La vulnérabilité permettait de consulter des noms, des adresses courriel, des pays de résidence et, dans certains cas, des dates de naissance, sans véritable contrôle d’autorisation.

Click To Pray est exploitée par le Réseau mondial de prière du pape, une œuvre pontificale liée au Vatican. Disponible sur le Web ainsi que sur iOS et Android, l’application permet de suivre les intentions mensuelles du pape, de publier des demandes de prière et de participer à une communauté internationale. En juillet 2026, la plateforme comptait précisément 719 517 comptes enregistrés.

La faille a été découverte au début de janvier par une chercheuse en sécurité connue sous le pseudonyme BobDaHacker. Elle affirme avoir communiqué avec neuf responsables de l’application et du réseau de prière le 3 janvier, sans recevoir de réponse. Six mois plus tard, la vulnérabilité était toujours présente lorsqu’elle a rendu ses recherches publiques. Dark Reading a également reproduit et confirmé le problème de manière indépendante.

Le problème provenait d’une faille appelée « référence directe non sécurisée à un objet », ou IDOR. Chaque nouvel utilisateur recevait un numéro d’identification séquentiel. En modifiant simplement ce numéro dans une adresse utilisée par l’interface de programmation de l’application, il était possible de consulter les renseignements associés à un autre compte.

Aucune vérification ne semblait confirmer que la personne effectuant la demande avait réellement le droit d’accéder au profil demandé. Comme les identifiants se suivaient et qu’aucune limite apparente ne ralentissait les requêtes, un attaquant aurait pu automatiser la collecte des centaines de milliers de profils.

La chercheuse a également constaté que le mécanisme d’inscription retournait directement le code utilisé pour valider une adresse courriel. Une personne pouvait ainsi créer un compte avec l’adresse de quelqu’un d’autre et le confirmer sans accéder à sa boîte de réception. Les messages de validation légitimes de Click To Pray présentaient aussi des problèmes d’authentification de domaine susceptibles de les faire ressembler à des tentatives d’hameçonnage.

Le principal risque concerne maintenant l’utilisation des données pour mener des campagnes d’hameçonnage ciblées. Un fraudeur pourrait exploiter le nom d’un utilisateur et son intérêt pour les activités du Vatican afin de concevoir un courriel particulièrement crédible, par exemple une fausse demande urgente provenant du pape ou d’un organisme religieux.

Il n’existe toutefois aucune preuve publique démontrant que l’ensemble de la base de données a été téléchargé ou utilisé par des cybercriminels. La découverte établit que les renseignements étaient accessibles, mais pas qu’ils ont nécessairement été volés.

La vulnérabilité a finalement été corrigée après la publication des premiers articles, selon une mise à jour de BobDaHacker. L’interface ne retourne désormais que les éléments destinés à être publics lorsqu’une personne consulte le profil d’un autre utilisateur. La chercheuse affirme néanmoins n’avoir reçu ni réponse ni confirmation officielle de la part des responsables de Click To Pray.

L’incident rappelle qu’une organisation qui recueille des renseignements personnels demeure responsable de leur protection, qu’elle soit une entreprise technologique, une institution religieuse ou un organisme sans but lucratif. La confiance associée à une application officielle peut même accroître les risques lorsque cette confiance est utilisée pour tromper ses utilisateurs.

Sources : BobDaHacker, Dark reading

+++++++