L’application officielle du réseau de prière du pape laisse fuiter 719 517 comptes, six mois après un signalement ignoré, ouvrant un boulevard au phishing religieux ciblé.Click To Pray, application de prière soutenue par le pape et disponible en sept langues, expose les informations de ses 719 517 comptes. La chercheuse BobDaHacker affirme avoir signalé la faille le 3 janvier 2026, sans retour six mois plus tard. Le problème vient d’une vulnérabilité IDOR : l’API renvoie les données de n’importe quel utilisateur dès qu’un identifiant numérique valide est fourni. Noms, adresses électroniques, pays, dates de naissance et statut du compte deviennent accessibles. L’absence de contrôle d’autorisation, associée à des identifiants séquentiels et à aucune limitation des requêtes, permettrait d’énumérer toute la base. Un second défaut fragilise aussi la vérification des inscriptions et renforce le risque d’hameçonnage.
Une API ouverte sur l’ensemble des comptes
Click To Pray est proposée sur iOS, Android et son site internet. L’application officielle du Réseau mondial de prière du pape met en relation des utilisateurs souhaitant prier pour les intentions du souverain pontife. En juillet 2026, ZATAZ a pu constater que la plateforme recensait plus de 700 000 inscriptions.
Selon BobDaHacker, cette communauté mondiale reste exposée par une faille découverte plusieurs mois auparavant. La chercheuse assure avoir transmis son signalement au réseau pontifical le 3 janvier 2026. Au 24 juillet, le défaut demeurait exploitable et aucune réponse ne lui était parvenue. ZATAZ n’expliquera pas la faille, ni où elle se trouve.
« La vulnérabilité reste active. Personne n’a répondu. Mon courriel ne figurait probablement pas dans leurs prières », ironise-t-elle dans un billet publié il y a quelques jours.
BobDaHacker s’était déjà fait connaître par plusieurs recherches distinctes. La première concernait une faiblesse permettant d’obtenir gratuitement de la nourriture dans le système de commande de McDonald’s. La seconde révélait des commandes insuffisamment protégées sur des robots du fabricant chinois Pudu Robotics, et pendant la coupe du monde de football 2026, des problémes avec la sécurité des caméras dans les stades !
Cette fois, la brèche repose sur une référence directe non sécurisée à un objet, couramment appelée IDOR. Ce défaut apparaît lorsqu’un service accepte un identifiant fourni par l’utilisateur sans vérifier ses droits sur la ressource demandée. Une personne authentifiée peut alors consulter un dossier appartenant à un autre compte. De nombreuses fuites de données apparaissent dans les poches des pirates aprés l’exploitation de ce type de faille.
La chercheuse résume le mécanisme ainsi : « Vous demandez vos propres données, le serveur les fournit. Vous réclamez celles d’un autre utilisateur, il les livre également. » Attention : le fait d’être conscient de cette possibilité et de s’en servir, même pour voir, est illégale et pénalement répréhensible.
Chaque requête révèle un nouveau profil. Les données disponibles comprennent l’adresse électronique, le prénom, le nom, le pays, la date de naissance et l’état du compte, y compris lorsqu’il a été supprimé (Le RGPD, tout ça, tout ça !!!). L’absence de limitation du nombre de requêtes aggrave l’exposition. Un attaquant, un script et l’enfer peut débuter pour les 700 000 croyants ainsi accessibles.
Une infrastructure propice aux campagnes d’hameçonnage
Pour BobDaHacker, la nature de la communauté augmente la portée opérationnelle de cette fuite. Une partie des utilisateurs serait âgée, peu familiarisée avec les risques numériques et susceptible d’accorder une confiance particulière à une communication évoquant le Vatican.
La base constitue donc, selon ses termes, une « mine d’or pour le phishing« . Les informations personnelles permettent de rédiger des messages crédibles, personnalisés et adaptés au pays ou à l’âge du destinataire. Un courriel prétendant transmettre une demande urgente du Saint-Père pourrait ainsi conduire vers une page frauduleuse imitant l’univers graphique du service.
La chercheuse illustre le danger par un scénario simple : « Imaginez un message affirmant que le Saint-Père réclame votre attention urgente, avec un lien ressemblant à celui du Vatican. Grand-mère cliquera. À chaque fois.«
Le dispositif de messagerie ajoute une fragilité supplémentaire. Le logiciel de courrier de BobDaHacker a signalé que le véritable message de vérification ne respectait pas les exigences d’authentification du domaine. L’alerte indiquait qu’il pouvait avoir été usurpé ou transféré de manière incorrecte. Le diable se marre !
La conséquence dépasse l’apparence technique. Un attaquant n’aurait pas besoin de produire un courriel particulièrement sophistiqué pour imiter Click To Pray. Selon la chercheuse, un message frauduleux reproduisant fidèlement le service présenterait un niveau d’authentification comparable aux communications légitimes : aucun.
Le journal britannique The Register et ZATAZ ont sollicité le Réseau mondial de prière du pape sans obtenir la moindre réponse. BobDaHacker attend également un retour sur son signalement.
Dans une logique de cyberintelligence, cette fuite transforme une communauté religieuse mondiale en cartographie directement exploitable de victimes potentielles.
merci à ZATAZ
