Non bastano la fede e le preghiere a tenere lontani gli hacker, e la storia di Click to Pray lo dimostra bene. Parliamo di una falla di sicurezza che ha lasciato scoperti i dati personali di circa 700.000 fedeli, rimasta aperta per mesi senza che nessuno se ne accorgesse. L’applicazione, quella ufficialmente collegata alla Rete Mondiale di Preghiera del Papa, ha esposto informazioni che sulla carta sembrano innocue ma che nelle mani sbagliate valgono parecchio.
Il punto è che le app raccolgono di continuo dati che consideriamo poco importanti. Anche quelle dedicate alla spiritualità. Eppure basta un nome accostato a un indirizzo email per offrire ai criminali informatici un ottimo punto di partenza. Non stupisce quindi che sia successo proprio con un’app come questa, legata al Vaticano e usata da centinaia di migliaia di persone in tutto il mondo.
Come funzionava la vulnerabilità
Per oltre sei mesi Click to Pray avrebbe tenuto accessibili i dati degli iscritti tramite un’interfaccia di programmazione, la cosiddetta API, sprovvista di controlli adeguati. In pratica bastava conoscere o anche solo indovinare l’identificativo numerico di un utente per tirare fuori nome, cognome, indirizzo email e data di nascita. Niente password complicate da forzare, niente sistemi di protezione da aggirare. Solo un numero.
E qui arriva la parte peggiore. Gli identificativi degli utenti venivano assegnati in ordine progressivo, uno dopo l’altro, e il sistema non poneva alcun limite al numero di richieste che si potevano inviare ai server. Tradotto in parole semplici, un software automatico avrebbe potuto passare al setaccio l’intero database, account per account, senza incontrare ostacoli. Una richiesta per ogni profilo e via, fino a raccogliere tutto quanto.
Non si trattava insomma della possibilità di sbirciare un singolo profilo per curiosità. Il vero problema stava nella scala della cosa. Con i numeri assegnati in sequenza e nessun freno alle interrogazioni, l’intera platea di iscritti era potenzialmente alla portata di chiunque avesse un minimo di competenze tecniche e un po’ di pazienza. Ecco perché una vulnerabilità del genere, se sfruttata, avrebbe potuto trasformarsi in una raccolta di dati su vasta scala.
I dati esposti, presi uno alla volta, possono sembrare poca roba. Ma quando si mettono insieme decine di migliaia di combinazioni tra nome ed email diventano materiale prezioso per campagne di phishing mirate, tentativi di truffa o attività di profilazione. Chi lavora nel settore della sicurezza informatica lo ripete da tempo, e casi come questo servono a ricordarlo anche a chi pensa che certe app, in fondo, non abbiano granché da proteggere.