バチカン公式祈りアプリ、6ヶ月超にわたり70万ユーザーデータ漏洩
バチカン公式の祈りアプリ「Click to Pray」に深刻なセキュリティ脆弱性が発見された。認証機構が皆無で、API経由で70万人分の氏名やメールアドレスが誰でも取得可能な状態が6ヶ月以上放置されていた。
Tom’s HardwareのJowi Moralesの報道によれば、バチカン教皇世界祈りネットワークが運営する公式アプリ「Click to Pray」に、深刻なセキュリティ脆弱性が存在していたことが明らかになった。セキュリティ研究者BobDaHacker氏が2026年1月に発見したこの問題は、約6ヶ月間にわたり修正されることなく放置され、約72万人のユーザーデータが漏洩し得る状態にあった。
認証機構の完全な欠如
BobDaHacker氏の調査によると、Click to PrayのAPIエンドポイントには認証が一切実装されていなかった。ユーザーIDを指定したGETリクエストを送信するだけで、氏名（姓名）、メールアドレス、生年月日といった個人情報が誰でも取得できる状態だった。
さらに深刻なのは、新規アカウントに割り当てられるユーザーIDが連番（シーケンシャル）方式であった点だ。レート制限も設定されていなかったため、スクリプトを用いて全ユーザーのIDを順次走査すれば、自動的に全データを収集することが可能だった。
加えて、アカウント登録時の検証に用いるvalidation_hashも平文で保存されていた。APIにアクセスできる者がこのハッシュを利用すれば、ユーザーの受信トレイにアクセスしてアカウントを不正に有効化することも可能だった。正規の確認メール自体もフィッシングメールに酷似した体裁であったと、研究者は指摘する。
報告から修正まで6ヶ月の空白
BobDaHacker氏は脆弱性を発見後、アプリの開発元に連絡を取るため9名の関係者にメールを送信した。しかし、6ヶ月間にわたり誰からも返信はなく、脆弱性が修正されることはなかった。
研究者はその後、セキュリティ専門メディアDark ReadingのジャーナリストであるNate Nelson氏に連絡を取り、同氏も開発元に問い合わせたが、こちらも応答を得られなかった。Dark Readingがこの問題を報じた後、ようやく脆弱性が修正されたという経緯がある。BobDaHacker氏は現在に至るまで、アプリ開発元からの認知や謝意すら得られていない。
高齢ユーザーが標的となるリスク
Click to Prayのユーザー数は約72万アカウントに達する。BobDaHacker氏は、このアプリのユーザー層が高齢で技術に詳しくない可能性が高く、フィッシング攻撃の格好の標的になると警鐘を鳴らす。仮に収集されたメールアドレスの1％が悪質なフィッシングに応答したとしても、7,200人以上の被害者が生じ得る計算だ。
一般に、祈りアプリのようなニッチなサービスはサイバー犯罪者の注目を集めにくいと考えられる。しかし、歴史上最大級のデータ漏洩で160億アカウントが露出した事例と比較しても、70万人規模のデータベースが無防備な状態で放置されていた事実は無視できない。
編集部の見解
短期的には、この事例は宗教関連アプリや非営利団体が運用するサービスにおけるセキュリティ意識の低さを浮き彫りにした。開発リソースが限られる組織ほど、認証やAPIセキュリティの実装が後回しになりがちだ。今回の件は、どのような規模や目的のアプリであっても、ユーザーデータの保護が必須であることを再確認させるものである。
長期的視点では、APIセキュリティにおけるゼロトラストアプローチの重要性が一段と高まると見られる。ユーザーIDが連番であることやレート制限の欠如といった基本的な設計上の欠陥は、コードレビューや脆弱性診断の段階で発見可能だったはずだ。開発プロセスにセキュリティレビューを組み込む文化が業界全体で不可欠と言える。
編集部としては、セキュリティ研究者が脆弱性を報告してから修正までに6ヶ月を要した点に強い懸念を覚える。報告窓口の不在や開発者の無反応は、結果的にユーザーを危険にさらし続けることになる。組織の規模や種別を問わず、セキュリティ報告への対応プロセスを整備することが、今後ますます問われている。
参考
- 「 Security flaw in Vatican’s ‘Click to Pray’ app leaves over 700,000 global users exposed — app has been leaking user data for over six months and still does 」, by Jowi Morales — Tom’s Hardware, 2026-07-25T17:56:07.000Z (ARR)
- 元記事URL: https://www.tomshardware.com/tech-industry/cyber-security/security-flaw-in-vaticans-click-to-pray-app-leaves-over-700-000-global-users-exposed-app-has-been-leaking-user-data-for-over-six-months-and-still-does
よくある質問
- この脆弱性はどのように発見されたのか？
- セキュリティ研究者のBobDaHacker氏が2026年1月に発見した。APIエンドポイントに認証がなく、ユーザーIDを指定したGETリクエスト1つで個人情報が取得可能な状態だった。研究者は直ちに開発元に報告したが、6ヶ月間応答がなかった。
- 漏洩した可能性のあるデータは何か？
- 氏名（姓名）、メールアドレス、生年月日が該当する。加えて、アカウント検証用のvalidation_hashも平文で保存されており、APIアクセス権を持つ者がユーザーアカウントを不正に有効化できる状態だった。
- ユーザーはどのような対策を取るべきか？
- ユーザーはこのアプリに関連するメールに注意し、不審なリンクをクリックしないことが重要だ。特にClick to Prayを装ったフィッシングメールには警戒が必要で、パスワード変更や二要素認証の有効化も推奨される。
コメント