バチカン公式の祈祷アプリ「Click to Pray」で、氏名・メールアドレス・生年月日・アカウント種別など、70万件を超える利用者データが半年以上にわたり外部から閲覧可能な状態だった。原因はAPIの認可チェック漏れという、初歩的だが根深い脆弱性だ。
連番IDを渡すだけで他人の情報が丸見え #
問題の実体はIDOR（Insecure Direct Object Reference）と呼ばれる脆弱性クラス。アプリのAPIはユーザーIDを連番で管理しており、そのIDをブラウザで1つずつ変えて叩くだけで、ログインも認証も不要に他人のレコードを取得できた。技術的な突破手段は一切不要で、URLの数字を書き換えるだけという単純さが被害範囲を広げた。IDORはOWASPが長年「アクセス制御の不備」の代表例として挙げてきた古典的な欠陥だが、今も新規開発のAPIで繰り返し発見され続けている。
通報を半年放置、報道でようやく対応 #
研究者「BobDaHacker」は今年1月に脆弱性を発見し運営に通報したが、反応がないまま7月まで放置された。修正が入ったのは海外メディアが独自に検証し報道した後だった。信仰という個人の内面に関わる情報を扱うサービスでも、開発体制やセキュリティ投資は一般的なウェブサービスと変わらない水準にとどまりがちだという実態が浮き彫りになった。開発者にとっての教訓は明確で、IDにアクセス制御を紐付けずに「連番だから安全」と考えることの危うさを示す一件だ。
COMMENTS 0
No comments yet — be the first to leave one.