Katolik dünyasının ruhani lideri Papa'nın resmi dua uygulaması ve dijital platformu olan 'Click to Pray'de büyük bir siber güvenlik skandalı yaşandı. Platform altyapısında tespit edilen kritik bir güvenlik açığı nedeniyle 719 binden fazla kullanıcının kişisel verileri, aylar boyunca internet ortamında korumasız kaldı.
Tom's Hardware'ın aktardığı bilgilere göre, siber güvenlik literatüründe 'IDOR' (Güvensiz Doğrudan Nesne Başvurusu) olarak bilinen bir yetkilendirme hatası nedeniyle uygulamanın API altyapısı tehlikeye girdi. Bu açık, sistemin hesap bilgilerini talep eden kişinin yetkisini sorgulamasını engelledi. Kötü niyetli kişiler, sadece kullanıcı kimlik numaralarını değiştirerek yüz binlerce kişinin kişisel verilerine erişebildi.
Güvenlik araştırmacısı 'B.H.', sistemi tehdit eden bu açığı ocak ayında tespit ettiğini belirtti. Güvenlik protokolleri gereği Vatikan ve uygulama geliştiricileriyle iletişime geçmeye çalıştığını ifade eden araştırmacı, 9 farklı kişiye ulaşmasına rağmen aylar geçmesine rağmen önlem alınmadığını ve açığın kapatılmadığını bildirdi.
Sistemdeki açık sebebiyle kullanıcıların ad-soyad, doğum tarihi, e-posta adresi, doğduğu ve yaşadığı ülke bilgileri ile sistemdeki kullanıcı rollerine ilişkin detaylar sızdı. Finansal veriler veya resmi kimlik numaraları gibi bilgilerde bir sızıntı yaşanmadığı belirtildi.
Uzmanlar, sızdırılan bilgilerin Vatikan veya dini kurumlar adına gönderilmiş gibi gösterilen sahte e-postalar (phishing/oltalama saldırıları) aracılığıyla kullanıcıları dolandırmak için kullanılabileceği konusunda uyarılarda bulundu. B.H., geliştiricilere tepki göstererek, “Uygulamanız bizzat Papa tarafından destekleniyor. Yüz binlerce inanan insan birlikte dua edebilmek adına size e-posta adreslerini emanet etti. Bu sistemi derhal düzeltin, kullanıcılarınız çok daha iyisini hak ediyor” çağrısında bulundu.
Dünya genelindeki Katoliklerin senkronize şekilde dua etmesine olanak sağlayan Click to Pray, Vatikan'ın bilinen resmi dijital projeleri arasında yer alıyor.
