700 000 données perso exposées sur l'appli catho Click to Pray

Encore une histoire de sécurité qui fait tache : le chercheur qui se fait appeler BobDaHacker a mis la main sur une faille dans Click to Pray, l'appli mobile liée au Vatican qui permet aux fidèles de prier et de suivre du contenu religieux au quotidien. Résultat : près de 700 000 données personnelles d'utilisateurs se sont retrouvées accessibles, sans grande protection.

Comme souvent dans ce genre de cas, le hacker dit avoir agi en bon citoyen du numérique : il a repéré le problème, puis prévenu les responsables de l'appli avant de rendre l'affaire publique, histoire de laisser le temps de corriger le tir. C'est la démarche classique du "responsible disclosure", qui évite que la faille traîne à la vue de tout le monde pendant que personne ne bouge.

Ce genre d'incident rappelle que même les applis les plus inattendues - ici une appli de prière, pas franchement un site sensible en apparence - peuvent stocker des tonnes d'infos perso mal sécurisées. Emails, données de profil, habitudes d'usage... tout ça peut vite devenir une mine d'or pour des acteurs mal intentionnés si personne ne fait le ménage côté sécurité.

L'affaire illustre aussi l'importance du travail des chercheurs en sécurité qui traquent ces failles avant que des personnes moins bien intentionnées ne le fassent. Reste à voir comment l'équipe derrière Click to Pray va gérer la correction et communiquer auprès de ses utilisateurs concernés.