バチカン公式祈祷アプリ、ユーザーデータ約72万件を漏洩

バチカン公式祈祷アプリ、ユーザーデータ約72万件を漏洩

The Resigter – Fri 24 Jul 2026

祈祷アプリ「Click To Pray」の脆弱性により、数か月以上にわたってユーザーの名前とメールアドレスが漏洩していたことが研究者によって明らかになった。Click To PrayはiOS、Android、そしてWebサイト「clicktopray[.]org」で利用可能なアプリで、2026年7月現在のアカウント総数は71万9,517件に達している。

セキュリティ研究者BobDaHacker氏は1月3日にこの脆弱性を発見。アプリにおける安全でない直接オブジェクト参照（IDOR）に起因し、アプリ上でユーザーに連番で割り当てられる5桁のIDをAPIエンドポイントのGETリクエスト「hxxps://api[.]clicktopray[.]org/user/users/{id}」に入力すると、認証チェックなしで他人のアカウントデータを閲覧できるという。データにはメールアドレス、氏名、国、氏名、生年月日、アカウントが削除されたかどうかなどが含まれている。IDが連番であり、APIレート制限も存在しないため、簡単にスクレイピングできてしまう。BobDaHacker氏はアプリを管理するバチカンの「教皇による祈りの世界ネットワーク」にこの問題を報告したものの返信はなく、脆弱性は修正されていないとのこと。

また、サインアップエンドポイントであるPOST「hxxps://api[.]clicktopray[.]org/user/users/sign-up」は、レスポンスボディにアカウントの「validation_hash」を直接返すものの、その値はメール認証リンクで使用されるUUIDと一致する。したがって、任意のメールアドレスでサインアップし、確認メールを受信しなくともアカウントが認証できてしまう。さらに、BobDaHacker氏によると、確認メールの送信元はドメインの認証要件を満たしておらず、Click To Pray公式から送られてくるメール自体がフィッシングメールの様相を示しているそう。

BobDaHacker氏は以前にもマクドナルドの注文システムのバグや、中国のPudu Roboticsの脆弱性を発見している。