สรุปสั้น
แอป Click to Pray ซึ่งเป็นแอปสวดมนต์อย่างเป็นทางการของวาติกัน ได้ทำข้อมูลส่วนบุคคลของผู้ใช้มากกว่า 700,000 รายรั่วไหล ผ่านช่องโหว่ API ที่ไม่ต้องยืนยันตัวตน (unauthenticated API) โดยปัญหานี้เปิดทางให้ใครก็ตามที่มีเพียงเว็บเบราว์เซอร์สามารถดึงข้อมูลบัญชีออกมาได้โดยไม่ต้องล็อกอินเลย แอป Click to Pray ให้บริการบทสวดประจำวันและเนื้อหาจากพระสันตะปาปาผ่านทั้งเว็บไซต์และแอปพลิเคชันบนมือถือ ผู้ใช้ต้องกรอกชื่อ อีเมล รหัสผ่าน และบางครั้งประเทศเมื่อสมัครบัญชี จึงเกิดเป็นกองข้อมูลขนาดใหญ่ที่ควรได้รับการปกป้อง เว็บไซต์ DarkReading เป็นผู้ระบุการรั่วไหลนี้หลังจากนักวิจัยด้านความปลอดภัย นาย BobDaHacker ค้นพบช่องโหว่ประเภทอ้างอิงอ็อบเจกต์โดยตรงแบบไม่ปลอดภัย (IDOR — Insecure Direct Object Reference) ตั้งแต่เดือนมกราคม
DarkReading ได้ทดสอบปัญหานี้ด้วยตัวเองและรายงานว่ายังเข้าถึงข้อมูลได้อยู่ ณ เวลาที่เผยแพร่ข่าว โดยระบุว่ากรณีนี้ไม่ใช่เหตุการณ์มัลแวร์ แต่สะท้อนให้เห็นว่าความล้มเหลวในการควบคุมการเข้าถึง (access control) เพียงจุดเดียวก็เปิดช่องให้ผู้ใช้ตกเป็นเป้าของการฟิชชิง การปลอมตัว และการหลอกลวงแบบเจาะจงได้ จุดอ่อนหลักคือ API กำหนดหมายเลข ID ให้แต่ละบัญชีแบบเรียงลำดับ (sequential) ผู้โจมตีจึงเพียงป้อนเลข ID ที่ถูกต้องไปยังปลายทางที่เปิดโล่ง ก็จะเห็นข้อมูลของบัญชีนั้นและทำซ้ำวนไปทั่วผู้ใช้จำนวนมากได้อย่างง่ายดาย
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 27 กรกฎาคม พ.ศ. 2569 ว่า เว็บไซต์ DarkReading ได้เปิดเผยการรั่วไหลของข้อมูลจากแอป Click to Pray หลังนักวิจัยด้านความปลอดภัย นาย BobDaHacker พบช่องโหว่ IDOR ตั้งแต่เดือนมกราคม โดยข้อมูลในบัญชีที่ถูกเปิดเผยประกอบด้วยชื่อจริงและนามสกุล อีเมล ตัวระบุประเทศ สถานะการลบบัญชี และบทบาท (role) ที่ถูกกำหนดให้ ทั้งนี้บัญชีที่มีเลข ID ต่ำสุดมักเชื่อมโยงกับพนักงาน ขณะที่ผู้ใช้ทั่วไปจะถูกทำเครื่องหมายด้วยบทบาท “PRAYER”
ช่องโหว่ลักษณะนี้เรียกว่า IDOR เพราะแอปพลิเคชันเปิดเผยการอ้างอิงอ็อบเจกต์ เช่น เลข ID ผู้ใช้ โดยไม่ตรวจสอบว่าผู้ร้องขอมีสิทธิ์เข้าถึงหรือไม่ และเนื่องจากตัวระบุถูกกำหนดแบบเรียงลำดับ การเก็บรวบรวมข้อมูลในปริมาณมากจึงทำได้ง่ายเป็นพิเศษ ผู้โจมตีเพียงใช้สคริปต์ง่าย ๆ ไล่วนเลขบัญชี รวบรวมข้อมูลจำนวนมาก แล้วสร้างเป็นรายชื่อของบุคคลที่อาจไว้วางใจข้อความที่ดูเหมือนมาจากวาติกันหรือเครือข่ายสวดมนต์ของวาติกัน โดยรายงานระบุว่าผู้โจมตีไม่จำเป็นต้องมีทักษะทางเทคนิคขั้นสูงเลย เพราะข้อมูลเข้าถึงได้ผ่านคำขอทางเบราว์เซอร์ธรรมดา ซึ่งลดกำแพงสำหรับอาชญากรที่ต้องการเตรียมแคมเปญฟิชชิงหรือกลลวงทางวิศวกรรมสังคม (social engineering) ที่น่าเชื่อถือ
รายละเอียดช่องโหว่
หัวใจของปัญหาคือช่องโหว่ IDOR ที่มาคู่กับการควบคุมการเข้าถึงที่บกพร่อง (broken access control) กล่าวคือ ปลายทาง API ที่มีช่องโหว่ผูกเลข ID แบบเรียงลำดับไว้กับแต่ละบัญชี เมื่อผู้ไม่ประสงค์ดีป้อนเลข ID ที่ถูกต้องเข้าไป ระบบกลับส่งข้อมูลของบัญชีนั้นกลับมาโดยไม่ตรวจสอบว่าผู้ร้องขอเป็นเจ้าของบัญชีหรือมีสิทธิ์ดูข้อมูลนั้นจริงหรือไม่ นาย BobDaHacker ตั้งข้อสังเกตว่าเฟรมเวิร์กสำหรับพัฒนาจำนวนมากจัดการเรื่องการยืนยันตัวตน (authentication) ให้ แต่ไม่ได้ตัดสินโดยอัตโนมัติว่าผู้ที่ล็อกอินแล้วควรเข้าถึงข้อมูลรายการใดรายการหนึ่งได้หรือไม่ (authorization) นักพัฒนาจึงต้องเขียนการตรวจสอบสิทธิ์ชั้นที่สองนี้ลงในทุกฟีเจอร์และทุกปลายทาง API ที่อ่อนไหวด้วยตนเอง
ทางฝั่งแนวปฏิบัติ OWASP Top 10 ก็จัดให้การควบคุมการเข้าถึงที่บกพร่องเป็นความเสี่ยงสำคัญของแอปพลิเคชัน พร้อมแนะนำให้บังคับใช้หลักสิทธิ์น้อยที่สุด (least privilege) ปฏิเสธการเข้าถึงเป็นค่าเริ่มต้น (deny by default) และใช้การตรวจสอบสิทธิ์ที่รัดกุม ประเด็นที่น่ากังวลคือ ข้อมูลชื่อและอีเมลที่รั่วออกไปสามารถทำให้อีเมลหลอกลวงดูน่าเชื่อถือขึ้นมาก โดยเฉพาะเมื่ออาชญากรอ้างอิงถึงความเชื่อ คำอธิษฐาน การบริจาค หรือเนื้อหาของวาติกัน เหยื่อจึงมีแนวโน้มเปิดข้อความมากขึ้นเมื่อผู้โจมตีปรับแต่งเนื้อหาให้ตรงกับข้อมูลบัญชีจริงได้
ผลกระทบต่อไทย
แม้ Click to Pray จะเป็นแอปของวาติกัน แต่บทเรียนสำคัญคือ องค์กรที่ไม่ใช่สายเทคโนโลยีก็ยังแบกความรับผิดชอบด้านความปลอดภัยอย่างหนักเมื่อเก็บข้อมูลผู้ใช้จำนวนมาก ในไทยมีองค์กรศาสนา มูลนิธิ หน่วยงานภาครัฐ และแอปบริการประชาชนจำนวนไม่น้อยที่พัฒนาแอปเก็บข้อมูลสมาชิกโดยทีมขนาดเล็กหรือผู้รับจ้างภายนอก ความเสี่ยงแบบ IDOR ที่ใช้เลข ID เรียงลำดับและไม่ตรวจสิทธิ์รายการ เป็นข้อผิดพลาดที่พบได้บ่อยและเจาะได้โดยไม่ต้องใช้ทักษะสูง หากข้อมูลชื่อและอีเมลของสมาชิกรั่วไหล ก็เพียงพอให้มิจฉาชีพนำไปทำฟิชชิงแบบเจาะจง โดยเฉพาะการแอบอ้างเป็นหน่วยงานที่เหยื่อไว้วางใจ องค์กรไทยที่ให้บริการผ่าน API สาธารณะจึงควรทบทวนว่าทุกคำขอตรวจสอบทั้งตัวตนและสิทธิ์ครบถ้วนหรือไม่
คำแนะนำ
องค์กรที่จัดการข้อมูลส่วนบุคคลต้องมั่นใจว่าทุกคำขอ API ตรวจสอบทั้งตัวตน (identity) และสิทธิ์ (permission) ของผู้ร้องขอ ควรหลีกเลี่ยงการใช้ตัวระบุแบบเรียงลำดับที่เดาง่าย เปลี่ยนไปใช้ค่าที่สุ่มยากต่อการคาดเดา และบังคับตรวจสิทธิ์การเข้าถึงข้อมูลในระดับรายการทุกครั้ง พร้อมทั้งจัดให้มีการรีวิวความปลอดภัย การทดสอบการอนุญาต (authorization testing) ของ API และกระบวนการที่ชัดเจนในการรับและจัดการรายงานช่องโหว่ ในฝั่งผู้ใช้ รายงานแนะนำให้จำกัดข้อมูลส่วนตัวที่แบ่งปันตอนสมัครเท่าที่ทำได้ เช่น ใช้ชื่อย่อ ใช้ชื่อแฝงแบบตัวอักษรผสมตัวเลข หรือใช้ฟีเจอร์ซ่อนอีเมลอย่าง Hide My Email ของ Apple และผู้ที่ใช้ข้อมูลติดต่อจริงควรระวังอีเมลที่อ้างว่ามาจากวาติกัน Click to Pray หรือเครือข่ายสวดมนต์ของพระสันตะปาปา หลีกเลี่ยงการคลิกลิงก์หรือแบ่งปันรหัสผ่านจนกว่าจะตรวจสอบผู้ส่งผ่านช่องทางอย่างเป็นทางการได้
Indicators of Compromise (IoCs)
| ประเภท | Indicator | รายละเอียด |
|---|---|---|
| Domain | clicktopray[.]org | โดเมนของ Click to Pray ซึ่งเป็นจุดที่พบช่องโหว่ API (defang แล้ว) |
หมายเหตุ: โดเมนถูก defang (ใส่ [.]) เพื่อป้องกันการเชื่อมโยงหรือเข้าถึงโดยไม่ตั้งใจ ให้ re-fang เฉพาะภายในแพลตฟอร์มข่าวกรองภัยคุกคามที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น