Descubren un grave fallo en la app para rezar del Papa, que expone los datos de más de 700.000 usuarios
Es llamativo que una app para rezar del Vaticano requiera tus datos personales. Esos datos eran fácilmente accesibles desde un navegador.
Tras llegar la cargo, el Papa León XIV puso en marcha la Red Mundial de Oración, asociada a la app Click to Pray (Tocar para rezar), que ha acumulado más de 700.000 usuarios. Todos sus datos personales, nombres y apellidos, email y país, han estados expuestos durante un mínimo de siete meses.
Un hacker de sombrero blanco (un hacker ético que no se dedica a delinquir, sino a tapar agujeros de seguridad), llamado BobDaHacker, descubrió el pasado mes de enero una grave vulnerabilidad en la Red Mundial de Oración que permite a cualquier aprendiz de hacker robar todos los datos personales de los usuarios, incluidos trabajadores del Vaticano, sin hackear nada, con un simple script para leer todas las fichas de usuario, y copiarlas.
Este grave bug afecta tanto a la versión web de la Red Mundial de Oración, como a las apps para iOS y Android Click to Pray. Vamos a ver en qué consiste.
Un hackeo muy sencillo de una app del Vaticano
Según cuenta Dark Reading, BobDaHacker descubrió una Vulnerabilidad de referencia insegura a un objeto directo (IDOR). Cualquier usuario de Internet puede accede a un punto expuesto de la interfaz de programación de aplicaciones (API) para ver información básica de identificación personal (PII) perteneciente a todos los titulares de cuentas de Click to Pray, así como a los empleados en activo de la organización que gestiona la aplicación, la Red Mundial de Oración del Papa.
Básicamente lo que ocurría es que la web y apps de Click to Pray comprueban que un usuario ha iniciado sesión para acceder a los datos, pero no comprueban si es el usuario correcto. Así que cualquiera que cree una cuenta e inicie sesión, puede crear un script para acceder a todos los datos personales de más de 700.000 usuarios.
Esto, para un hacker, es como escribir el abecedario, porque no hay que hackear nada. Simplemente entrar en la red legalmente usando una cuenta, acceder a cierto punto de la API para tener acceso a la base de datos, y leer y copiar todos los datos personales.
BobDaHacker avisó en enero al Vaticano, así como a la agencia de comunicación hispanoargentina La Machi, encargada de crear la app, pero ninguna dió señales de vida.
Pasados siete meses, el pasado 24 de julio, decidió hacer pública la vulnerabilidad, a ver si así se daban por aludidos. Hoy ya estaba corregido. Ni gracias, ni reconocimiento, ni un "ya lo hemos solucionado". Pese a que este hacker ético les ha resuelto un problema importante, y gratis.
Es una fallo especialmente grave porque muchos usuarios de la Red Mundial de Oración son personas mayores no habituadas a la tecnología, y con sus datos en manos de ciberdelincuentes, podrían haber caídos en alguna estafa de phishing, si los hackers suplantan la identidad del Vaticano.