Per almeno sei mesi i dati personali di oltre 719.500 utenti iscritti a Click To Pray, l’app ufficiale della Rete Mondiale di Preghiera del Papa, sono rimasti accessibili a chiunque sapesse dove cercare. Nomi, indirizzi email, paese di provenienza e data di nascita: bastava modificare un numero nell’indirizzo di una richiesta per ottenere il profilo completo di qualsiasi iscritto, senza superare alcun controllo di autenticazione.
Click To Pray è l’applicazione lanciata nel 2019 e promossa personalmente da Papa Francesco, sviluppata dall’agenzia di comunicazione spagnola La Machi per conto di una fondazione vaticana. A gennaio la ricercatrice di sicurezza che si firma BobDaHacker ha individuato il problema: il sistema assegnava a ogni utente un identificativo progressivo, e l’app restituiva i dati corrispondenti a qualunque numero le venisse sottoposto, senza verificare chi stesse facendo la richiesta.
Si tratta di una vulnerabilità nota come IDOR (Insecure Direct Object Reference), tra le più comuni nello sviluppo di applicazioni web e da anni ai primi posti nelle classifiche internazionali delle falle più diffuse. Non richiede competenze avanzate per essere sfruttata, ed è normalmente tra le prime cose che una revisione del codice dovrebbe intercettare.
Il problema non è tanto tecnico quanto organizzativo. La ricercatrice ha segnalato la falla il 3 gennaio a nove contatti diversi tra Vaticano e sviluppatori dell’app, senza ricevere risposta per sei mesi. Solo dopo la pubblicazione di un’inchiesta della testata specializzata Dark Reading, a fine luglio, il sistema è stato corretto. Alla ricercatrice, secondo quanto riportato, non è arrivato alcun riscontro nemmeno a correzione avvenuta.
Il Vaticano si era dotato, il 30 aprile 2024, di una propria normativa sulla protezione dei dati personali, il decreto DCLVII. La regola esisteva; a mancare, in questo caso, è stata la catena operativa capace di raccogliere una segnalazione, valutarne l’urgenza e agire di conseguenza.
Un aspetto ulteriore rende la vicenda più delicata. Le email legittime inviate dall’app, secondo la ricercatrice, vengono già segnalate come possibile phishing dai principali client di posta, perché non superano i controlli di autenticità del mittente. Questo significa che le comunicazioni reali dell’app tendono ad apparire sospette quanto quelle fraudolente, riducendo la capacità degli utenti di distinguere un messaggio autentico da un tentativo di truffa che ne imiti il tono e l’indirizzo.
Con oltre 700mila nominativi ed email potenzialmente esposti, il rischio concreto è quello di campagne di phishing mirate, capaci di rivolgersi ai fedeli con il loro nome esatto e un mittente apparentemente credibile.
Per l’autore del libro “Vaticano Zero Day”, che ha seguito da vicino la vicenda, il caso Click To Pray non rappresenta una minaccia sconosciuta e imprevedibile, ma l’opposto: una falla catalogata, prevedibile, rimasta aperta non per la sua complessità ma per l’assenza di una risposta. Una definizione che circola tra gli addetti ai lavori la descrive come “forever day”, contrapposta allo zero day: non un limite tecnico, ma organizzativo.
La vicenda ha avuto finora una diffusione limitata in Italia, circoscritta agli ambienti specialistici di cybersicurezza e privacy. Resta aperta la questione di fondo: la app ufficiale della Rete Mondiale di Preghiera del Papa ha ricevuto, per sei mesi, un avvertimento a cui nessuno ha risposto.
Disclaimer : This story is auto aggregated by a computer programme and has not been created or edited by DOWNTHENEWS. Publisher: lastampa.it
