Die Gebets-App 'Click To Pray', die 2019 mit Unterstützung von Papst Franziskus gestartet wurde, hatte eine schwere Sicherheitslücke. Entwickelt wurde die Anwendung für das weltweite Gebetsnetzwerk des Papstes. Ziel der App ist es, eine digitale Gebetsgemeinschaft zu schaffen, indem Nutzer täglich durch drei Gebete geführt werden.
Im Jänner dieses Jahres entdeckte der Sicherheitsforscher BobDaHacker eine gravierende Schwachstelle in der Programmierschnittstelle (API) der App. Über diese API konnten persönliche Informationen wie E-Mail-Adressen, Vor- und Nachnamen, Geburtsdatum und Land aller registrierten Nutzer abgefragt werden – insgesamt mehr als 700.000 Accounts.
Wie "Malwarebytes" berichtet, bestand das Problem darin, dass die API keine Authentifizierung verlangte. Jeder, der eine fortlaufende Nutzer-ID in die Anfrage eingab, erhielt Zugriff auf die Daten des entsprechenden Nutzers. Insgesamt waren 719.517 IDs registriert, was bedeutete, dass umfassende persönliche Informationen über Monate hinweg offen einsehbar waren.
Zusätzlich gab es einen weiteren Fehler: Die App gab beim Verifizierungsprozess einen sogenannten Validierungscode (Hash) preis. Damit war es Angreifern möglich, fremde Accounts zu bestätigen, noch bevor der eigentliche Nutzer die E-Mail zur Verifizierung erhalten hatte. BobDaHacker kontaktierte insgesamt neun verschiedene Adressen, darunter auch das Gebetsnetzwerk und allgemeine Kontaktstellen, erhielt aber keine Antwort.
Erst nachdem der Forscher einen Journalisten einschaltete, der direkt beim Vatikan anfragte, wurde die Lücke mehr als sechs Monate nach der ersten Meldung geschlossen. Die fehlende Reaktion zeigt laut Experten, wie wichtig ein funktionierender Prozess für das Melden von Sicherheitsproblemen ist.
Es ist nicht das erste Mal, dass eine Vatikan-App mit Datenschutzproblemen auffällt. Bereits 2019 entdeckte das britische Unternehmen Fidus Information Security eine ähnliche Schwachstelle bei der Bluetooth-eRosary-App des Vatikans. Auch dort konnten Angreifer durch Überprüfen von Web-Antworten auf PIN-Codes und so auf Konten zugreifen.
Obwohl der Vatikanstaat 2024 eine eigene Datenschutzverordnung eingeführt hat, ist unklar, ob diese direkt für 'Click To Pray' und die beteiligten Organisationen gilt. Nutzer, die ein Konto angelegt haben, sollten davon ausgehen, dass ihre Daten – darunter Name, E-Mail, Geburtsdatum und Land – potenziell in Umlauf geraten sind.
Nutzer werden dazu geraten, besonders vorsichtig bei E-Mails zu sein, die sich auf die App oder vatikanische Dienste beziehen. Phishing-Versuche könnten sich gezielt auf die offengelegten Daten beziehen. Da E-Mails vom Dienst zudem gängige Authentifizierungsprüfungen nicht bestehen, können Angreifer den Vatikan leichter imitieren. Experten empfehlen, verdächtige Nachrichten zu ignorieren und keine Links anzuklicken.
