Fail de sécurité au vatican : 700 000 données d'utilisateurs compromis
Une faille critique dans l’application « Click to Pray », plateforme de prière en ligne du Vatican, a permis à un hacker éthique de voler les données personnelles de plus de 700 000 utilisateurs, incluant des employés du Saint-Siège. C’est la révélation explosive d’un individu, identifié sous le pseudonyme de BobDaHacker, qui a mis en lumière une vulnérabilité majeure.
Un bug facile à exploiter, un risque réel
L’opération, d’une simplicité déconcertante, a consisté à exploiter une faille d’“IDOR” – Identification de Ressources Protégées – une faille de sécurité classique qui permet à un utilisateur non autorisé d’accéder à des informations sensibles en se faisant passer pour un autre. BobDaHacker n’a pas eu besoin de pirater le système ; il suffisait d’utiliser une adresse email valide pour accéder à la base de données des utilisateurs.
Des données exposées, des risques accrus
Les informations compromises incluaient des noms, des prénoms, des adresses e-mail et le pays de résidence de chacun. Un véritable désastre pour la confidentialité, surtout pour les utilisateurs les plus vulnérables. Il s’agit d’une population importante, souvent âgée, peu familiarisée avec les enjeux de la cybersécurité.
Le vatican, silencieux et inexplicable
Ironiquement, BobDaHacker avait alerté le Vatican et l’agence de communication de l’Église, La Machi, sur cette faille en janvier. Pourtant, aucune réponse n’est venue. C’est seulement sept mois plus tard, le 24 juillet, qu’il a choisi de révéler publiquement la faille, espérant ainsi inciter à une action correctrice. Le silence et le manque de réaction du Vatican sont autant de reproches à l’adresse de l’institution.
Une action éthique, une absence de reconnaissance
Il convient de souligner que BobDaHacker a agi de manière éthique, corrigeant une faille qui aurait pu causer de graves dommages. Il a résolu un problème majeur, et gratuitement, mais sa contribution reste lettre morte. Aucun remerciement, aucune reconnaissance, aucun geste d’appréciation de la part de l’institution.
Phishing et fraudes potentielles
Cette faille représente une menace concrète pour les utilisateurs de la Red Mondiale de Prière. Des cybercriminels pourraient désormais utiliser ces informations pour lancer des attaques de phishing, se faisant passer pour le Vatican afin d’obtenir des informations confidentielles supplémentaires ou d'escroquerie financière. Il est impératif que le Vatican prenne des mesures immédiates pour protéger ses utilisateurs.