Imádkozni induló hívők százezreinek adatait tálalta tálcán a Vatikán hivatalos alkalmazása a kiberbűnözőknek. A Click to Pray platform adatbázisából hónapokon keresztül bárki korlátozás nélkül nyerhetett ki személyes információkat, miközben az üzemeltetők fél éven át semmilyen figyelmeztetésre nem reagáltak.
Az okostelefonok világában a vallási közösségek is igyekeznek lépést tartani a digitális korszakkal. A Pápai Imahálózat gondozásában működő szoftver célja eredetileg az volt, hogy világszerte összekösse a hívőket Ferenc pápa imaszándékaival, ám a háttérben futó technológiai megvalósítás súlyos hiányosságokat halmozott fel.
Védelem nélkül hagyott felületek a hívők közösségi terében
A digitális imaalkalmazás körüli gondok nem most kezdődtek. A szentszéki digitális törekvések történetében nem ez az első alkalom, hogy kiberbiztonsági hiányosságok kerülnek felszínre. A Vatikán online infrastruktúráját az elmúlt évtizedben több elosztott túlterheléses támadás és célzott behatolási kísérlet érte, ami rámutatott az adatvédelmi rendszerek sérülékenységére.
A vallási alkalmazások különösen érzékeny területnek számítanak. A felhasználók személyes adatai mellett gyakran lelkiállapotukra, imakéréseikre vagy személyes meggyőződésükre vonatkozó információkat is megosztanak a felületeken. Amikor egy ilyen szoftver biztonsági ellenőrzés nélkül marad, a hívők jóhiszeműsége válik a legnagyobb kockázati tényezővé.
Az IDOR-sérülékenység mechanizmusa és a nyitott kapuk
A probléma gyökere egy alapvető programozási hibára vezethető vissza, amelyet a szakmában nem biztonságos közvetlen objektumhivatkozásként (IDOR) ismernek. Egy BobDaHacker néven ismert etikus hacker vett észre egy hiányosságot az alkalmazás alkalmazásprogramozási felületén (API). Az API végpont teljesen hiányolta a megfelelő jogosultságellenőrzést és a hozzáférési korlátozásokat.
Az adatbázisban szereplő felhasználók azonosítói egymást követő sorszámokat kaptak. Mivel a szerver nem korlátozta a lekérések számát, egyetlen egyszerű lekérdezési sorozattal az egész adatbázis tartalma kiolvashatóvá vált. Az automatizált lekérésekkel bárki megszerzezhette a Click to Pray regisztrált tagjainak teljes nevét, e-mail-címét, születési dátumát, származási országát, sőt még az adminisztrátori státuszára vonatkozó beállításokat is. A regisztráció igazolására szolgáló biztonsági kódok ráadásul kódolatlanul, plain text formátumban tárolódtak a rendszerben.
Adathalászat és a jóhiszemű célcsoport kiberbiztonsági kitettsége
A kiszivárgott adatok köre első ránézésre átlagosnak tűnhet, ám az érintett célcsoport összetétele miatt a veszély jelentős. A platform látogatóinak és rendszeres használóinak számottevő része idősebb, a digitális veszélyekkel kevésbé tisztában lévő ember. Az ő nevükkel és e-mail-címükkel felvértezett adathalászok célzott társadalmi célzatú megtévesztéseket, pszichológiai manipulációra épülő átveréseket hajthatnak végre.
A szakértői becslések szerint a több mint 720 ezer regisztrált fiókot számláló adatbázisból megszerzett információk tökéletes alapot nyújtanak olyan csaló e-mailek kiküldéséhez, amelyek a Vatikán vagy valamilyen jótékonysági szervezet nevében kérnek adományokat. Ha az érintettek egyetlen százaléka bedől az ilyen megkereséseknek, az több ezer károsultat és komoly anyagi veszteséget jelenthet.
| Tényező | Részletek és adatok |
|---|---|
| Érintett alkalmazás | Click to Pray (A Pápai Imahálózat hivatalos szoftvere) |
| Érintett felhasználói létszám | Több mint 720 000 regisztrált fiók világszerte |
| Sérülékenység típusa | IDOR (Insecure Direct Object Reference) az API végponton |
| Kiszivárgott adatok kategóriái | Teljes név, e-mail-cím, születési dátum, ország, admin státusz |
| Válaszadási idő ablak | 6 hónap hallgatás a biztonsági kutató megkeresése után |
A hazai hívők és felhasználók adatvédelmi tudatossága
Magyarországon is több ezer katolikus hívő és közösségi tag használja a különféle digitális imase Segédleteket, köztük a vatikáni kiadású alkalmazásokat is. Bár a hazai felhasználók aránya a globális létszámhoz képest kisebb, az adatvédelmi kockázatok őket is közvetlenül érintik. A magyar nyelvű keresztény közösségekben elterjedt okostelefonos alkalmazások esetében is elengedhetetlen, hogy a hívők tudatosan kezeljék személyes adataikat.
Az Európai Unió által előírt általános adatvédelmi rendelet (GDPR) szigorú előírásokat fogalmaz meg a személyes adatok kezelésével és a biztonsági incidensek bejelentésével kapcsolatban. Az ehhez hasonló esetek rávilágítanak arra, hogy a vallási és civil szervezetek sem mentesülhetnek a technológiai szabványok és a jogszabályi kötelezettségek alól.
A javítás folyamata és a jövőbeli biztonsági tanulságok
Az eset legkritikusabb része az üzemeltetők reakcióideje volt. A kutató kilenc különböző kapcsolattartási címen próbálta felvenni a kapcsolatot a fejlesztőkkel és az illetékesekkel, ám fél éven keresztül semmilyen visszajelzést nem kapott. A biztonsági rést csak azután foltozták be, hogy a kutató a Dark Reading szaklap újságírójához fordult, és a nyilvánosság ereje intézkedésre kényszerítette a fejlesztőcsapatot.
A történtek tanulsága, hogy a fejlesztési keretrendszerek önmagukban nem garantálják az adatbázisok biztonságát. A hitelesítés és a jogosultságkezelés precíz beállítása a fejlesztők felelőssége. A felhasználók számára a legfőbb védekezési lehetőség az egyedi e-mail-címek használata, valamint az anonim regisztrációs opciók kihasználása a hordozható eszközökön.
