Ứng dụng cầu nguyện chính thức của Vatican lộ dữ liệu cá nhân hơn 700.000 người
"An official Vatican prayer app exposed a porous API endpoint that allowed unauthenticated access to more than 700,000 users' personally identifiable information, including names, email addresses, locations, and site status. The issue was an information disclosure flaw in the API, and the appropriate fix is to restrict access with proper authentication and authorization and validate that only necessary data is returned."
Sự cố gây lộ thông tin PII trên quy mô lớn, do endpoint API không được bảo vệ bằng xác thực. Tác động chính gồm rò rỉ tên, email và vị trí của người dùng, làm tăng nguy cơ bị thu thập dữ liệu và lạm dụng.
Có thể ảnh hưởng đến niềm tin người dùng và phát sinh chi phí xử lý sự cố (điều tra, khắc phục, thông báo). Việc lộ dữ liệu quy mô lớn cũng có thể kéo theo rủi ro tuân thủ liên quan đến bảo vệ dữ liệu cá nhân.
Một ứng dụng cầu nguyện chính thức của Vatican được phát hiện có lỗi lộ thông tin (information disclosure) do endpoint API thiếu kiểm soát truy cập. Theo ghi nhận, chỉ cần truy cập qua trình duyệt là có thể thu thập các trường dữ liệu như tên, địa chỉ email, vị trí, và trạng thái trang của người dùng.
Điểm đáng chú ý là endpoint này cho phép truy cập không cần xác thực (unauthenticated access), dẫn đến việc lộ PII của hơn 700.000 người dùng trên phạm vi toàn cầu. Rủi ro chính bao gồm lộ danh tính và thông tin liên quan đến hoạt động/sử dụng dịch vụ, có thể bị khai thác cho mục đích xấu như thu thập dữ liệu quy mô lớn hoặc nhắm mục tiêu lừa đảo.
Khuyến nghị kỹ thuật: cần siết chặt xác thực và phân quyền cho API, đảm bảo chỉ người dùng/ứng dụng được phép mới truy cập được dữ liệu. Đồng thời, thực hiện kiểm tra đầu vào/đầu ra để chỉ trả về dữ liệu tối thiểu cần thiết theo nghiệp vụ, giảm bề mặt rò rỉ và hạn chế tác động khi có lỗi cấu hình.