Какво се случи с потребителите на Click To Pray

Пропуск в сигурността на Click To Pray, молитвеното приложение с подкрепата на Ватикана, лансирано при папа Франциск, изложи личните данни на над 700 000 потребители. Приложението, предназначено да позволи на католиците по света да споделят молитвени намерения и да се свързват с месечните молитвени интенции на папата, трябваше да бъде нискорисков, основан на вярата дигитален инструмент. Вместо това, то се превърна в пример за това как дори добронамерени, нетърговски приложения могат да бъдат небрежни с личните данни, които събират.

Според репортажите за инцидента, изложената информация включва имената на потребителите, имейл адреси, държава на пребиваване и информация за статуса на акаунта, свързана с профилите им. Това може да не звучи толкова сериозно като пробив с финансови данни, но е точно видът информация, която захранва целеви фишинг кампании, особено когато идва от източник, толкова доверен и емоционално ангажиращ като религиозна институция.

Как уязвимостта в API изложи лични данни

Първопричината се корени в инфраструктурата на задната част на приложението. Click To Pray разчита на API – връзката зад кулисите, която позволява на приложението да комуникира със сървърите си, да извлича и предава потребителски данни. В този случай, тази API крайна точка беше оставена без адекватни контроли за достъп, което означава, че не проверяваше правилно кой иска данните, преди да ги предостави.

На практика това е базова и добре известна категория уязвимост. API-тата трябва да проверяват удостоверенията, преди да освобождават чувствителни записи, но когато тази стъпка на проверка липсва или е неправилно конфигурирана, всеки, който знае къде да търси или случайно попадне на крайната точка, потенциално може да изтегли потребителски записи без разрешение. Това не е сложен хак, изискващ напреднали инструменти; по-скоро е като да оставиш отключена врата, която е трябвало да има клавиатура за достъп.

Това, което прави този инцидент забележителен, не е техническата сложност на недостатъка, а колко дълго изглежда е останал неразрешен. Базовото тестване за сигурност на API – видът, който трябва да бъде стандартна практика за всяко приложение, събиращо потребителски данни – вероятно би уловило този проблем, преди да засегне стотици хиляди хора.

Защо рискът от фишинг следва този вид теч

Течът на имена, имейли и данни за държава може да изглежда незначителен в сравнение с пробиви, включващи пароли или данни за плащане, но той е точно суровината, която измамниците използват, за да изработват убедителни фишинг имейли. Когато нападателите знаят истинското име на човек, държавата му и че е активен потребител на конкретно молитвено приложение, те могат да съставят съобщения, които изглеждат лични и легитимни – независимо дали е фалшив имейл за „проверка на акаунта“ или измама, маскирана като официална комуникация от Ватикана.

Този модел не е уникален за религиозни или неправителствени приложения. Изтичанията на данни в различни индустрии – от телекоми до здравни платформи – последователно показват, че дори на пръв поглед нискостойностни данни стават ценни, веднъж агрегирани и използвани за социално инженерство. Атаката на SpaceBears срещу френския телеком оператор Stellar е напомняне, че никой сектор – корпоративен или друг – не е имунизиран срещу последствията от изложени клиентски данни и че последиците често се простират далеч отвъд самата пробита организация.

Как да се предпазите, когато приложенията боравят небрежно с данните ви

Ако използвате Click To Pray или което и да е приложение, претърпяло подобно излагане на данни, има практически стъпки, които си струва да предприемете. Бъдете нащрек за неочаквани имейли, отнасящи се до вашия акаунт, особено такива, които ви карат да кликнете върху линк, да потвърдите самоличността си или да предоставите допълнителна лична информация. Легитимните организации рядко изискват чувствителни детайли по имейл след оповестяване на пробив.

Също така си струва периодично да преглеждате на кои приложения сте дали достъп до личната си информация и дали все още ги използвате. Много хора инсталират приложения, дават разрешения и напълно ги забравят, оставяйки неактивни акаунти като дългосрочни пасиви. Ако приложение, което вече не използвате, е участвало в излагане на данни, обмислете изтриването на акаунта, вместо да оставяте информацията си да стои в база данни неограничено време.

Какво означава това за вас

Пробивът с данни в приложението Click To Pray подчертава една проста истина: всяко приложение, което събира вашето име и имейл адрес, борави с данни, които си заслужава да бъдат защитени, независимо от неговата мисия или размер. Религиозни, неправителствени и малки по мащаб приложения често работят с по-малко ресурси за сигурност от големите технологични платформи, което може да ги направи по-уязвими към базови грешки в конфигурацията като незащитена API крайна точка.

За обикновените потребители този инцидент е полезен тласък да се отнасят с една и съща базова доза скептицизъм към боравенето с данни във всяко приложение, не само в банковите или пазарувателните. Питайте каква информация действително е нужна на дадено приложение, преди да я предоставите, и обръщайте внимание, когато разработчиците оповестяват проблеми със сигурността.

Ключови изводи

Прегледайте разрешенията и личните детайли, които сте споделили с приложенията, които използвате редовно, включително онези, които изглеждат безобидни. Следете за фишинг опити, които споменават вашето име или активност в акаунта ви в резултат на оповестен пробив. И помнете, че излагането на данни – било то от молитвено приложение или телеком доставчик – сочи към един и същ урок: сериозните практики за защита на данните трябва да бъдат неотменимо изискване за всяка организация, която събира лична информация, без изключения.