Vatican : une faute de sécurité monumentale expose 700 000 utilisateurs

Une vulnérabilité critique dans l’application Click to Pray, plateforme de prière numérique du Vatican, a mis à jour des données personnelles sensibles de plus de 700 000 utilisateurs, y compris des employés du Saint-Siège. Un hacker éthique, identifié sous le pseudonyme de BobDaHacker, a découvert et signalé cette faille en janvier, mais aucune action corrective n'a été entreprise pendant sept mois.

Un breach facile : l'exploitation d'une api défaillante

L’analyse de Dark Reading révèle que le problème réside dans une référence non sécurisée à un objet direct (IDOR). Cela permet à quiconque, via une simple requête à l’API, d’accéder à des informations d’identification de base des utilisateurs de Click to Pray et des employés du Vatican. En substance, le système vérifie l’authentification de la session, mais ne valide pas l’identité de l’utilisateur effectuant la requête. C’est une porte dérobée béante.

Le silence du vatican : un manque de réactivité incompréhensible

Malgré l'alerte de BobDaHacker, le Vatican, via son agence de communication Hispano-Argentine, La Machi, a tardé à réagir. Le hacker a finalement rendu publique la vulnérabilité le 24 juillet, après sept mois d'attente. Le résultat ? Un silence de plomb, une absence totale de réponse ou de reconnaissance. Un comportement inacceptable, surtout compte tenu de l’ampleur de la faille et des risques potentiels pour les utilisateurs.

Conséquences potentielles : phishing et manipulation

Les données exposées – noms, prénoms, adresses e-mail et pays – sont désormais accessibles à des acteurs malveillants. Il est alarmant de penser que ces informations pourraient être utilisées pour des attaques de phishing ciblées, ciblant notamment les utilisateurs les plus vulnérables, comme les personnes âgées peu familiarisées avec les technologies numériques. La manipulation à des fins frauduleuses est une menace bien réelle.

Une correction à la dernière minute

Heureusement, la vulnérabilité a été corrigée le jour même de la divulgation publique. Cependant, cette correction, réalisée à la faveur d'une action de transparence forcée, n’a pas été accompagnée d’excuses ou de reconnaissance envers l’hacker éthique qui a dénoncé le problème. Un geste de générosité et de compétence, gratuit, qui aurait pu éviter une catastrophe.

Le cas d'une bande dérobant des prières ia

Parallèlement à cette faille, une bande organisée avait déjà été démantelée pour avoir vendu des prières générées par l’intelligence artificielle, prétendument capables de guérir les maladies. Ce scandale met en lumière la fragilité des dispositifs numériques utilisés par l’Église et la nécessité d'une vigilance accrue face aux dangers du cyberespace. Le Vatican, malgré son prestige, n'est pas à l'abri des erreurs et des failles de sécurité.