Estamos no mundo antenado, conectado, 2.0, wifizado, appzado e abobado. Claro, a ICAR não ia ficar atrás em termos de modernidades e lançou um aplicativo criado para colocar você – meu irmão e minha irmã na paz de Nosso Senhor – em contato direto com o Divino. Dessa forma, Pedro, que anda meio surdo, pode ver pelo zap se você merece ir pro céu ou bancou o influenceiro. O problema é o arco-reflexo de um troço programado igual a cara de Judas, o que acabou por jogar, sem qualquer intervenção sobrenatural, todos os seus dados pessoais em contato direto com qualquer um que soubesse abrir o navegador.

O Click to Pray, app oficial do Vaticano para oferecer orações diárias e conteúdo papal, vazou informações de mais de 700 mil usuários através de uma falha tão básica que chega a ser quase um insulto teológico à omnisciência que o produto promete emular.

Para quem não conhece o aplicativo (ninguém vai julgar você, meu caro fiel analógico), o Click to Pray nasceu em 2014, em Portugal, por iniciativa jesuíta do Apostolado da Oração, numa espécie de piloto regional que, ao que tudo indica, agradou tanto que acabou promovido a plataforma oficial da Rede Mundial de Oração do Papa em 2016, com direito a cerimônia solene no Vaticano e tudo.

O app é, essencialmente, uma espécie de Instagram Divino: você cria um perfil, recebe notificações três vezes ao dia (manhã, tarde e noite, porque até a alma precisa de lembrete recorrente hoje em dia), reza pelas intenções mensais do Pontífice e posta seus próprios pedidos de oração num mural onde outros fiéis podem “curtir” clicando para avisar que também rezaram por você, um sistema de engajamento espiritual que funciona basicamente como métricas de rede social, só que em vez de likes você acumula intercessões.

É um Threads de Jesus, mas sem a parte imunda do Threads. Ou seja, tem pouca gente lá.

O próprio Papa Francisco chegou a criar perfil público na plataforma e recomendar o download aos jovens durante o Angelus, o que, cabe dizer, é provavelmente a única situação da história em que uma recomendação de app veio acompanhada de bênção papal, In nomine Patris, et Filii, et Spiritus Sancti. Eu ouvi um amém?

Hoje o Click to Pray está presente em dezenas de países e soma milhões de usuários, prova de que a fé, ao contrário de muita infraestrutura de TI corporativa, escala bem. A tecnologia por trás dela, infelizmente, nem tanto.

O BO não-divinamente inspirado atende pelo nome de IDOR (Insecure Direct Object Reference), e funciona como uma sacristia sem tranca: bastava saber o número da porta (no caso, um ID de usuário sequencial, tipo 1, 2, 3…) para abrir e xeretar o conteúdo de dentro, sem senha, sem login, sem confissão prévia, sem precisar passar a mão na bunda do coroinha ou assoprar no Apito de Chamar Anjo.

Pense num armarinho de escola com cadeado de números, só que cada aluno tem um armarinho igual, numerado em sequência, e para abrir o do colega basta trocar o número da combinação por “aquele do lado”. Não precisa arrombar nada, não precisa ser espião, só precisa saber contar. Foi exatamente isso que aconteceu aqui: algum empurrador de mouse fez um script simples, rodando em loop, conseguindo varrer a base inteira como quem folheia um catálogo telefônico paroquial. Nomes, sobrenomes, e-mails, país de origem, status da conta e até o cargo do fiel (os primeiros IDs, sugestivamente, pertenciam à equipe interna; o resto do rebanho estava etiquetado sob o cargo “PRAYER”, o que já é meio poético, convenhamos) ficaram ali, à mostra, como um mural de intenções de missa que ninguém pediu para publicar.

Sabem quando a ICAR inventou o confessionário para saber dos odres de todo mundo para depois fazer a boa e velha chantagem? Bem, seria como se alguém colocasse um microfone gravasse tudo.

Quem encontrou a falha foi o hacker ético BobDaHacker, lá em janeiro, e a DarkReading, ao testar de novo antes de publicar a reportagem, constatou que o buraco continuava aberto (êpa!). Ou seja: alguém bateu na porta da sacristia, avisou que estava destrancada, e a resposta institucional foi, no melhor estilo burocracia milenar, um silêncio quase litúrgico. Não houve malware, não houve invasão sofisticada digna de filme, só um API que confiava demais na educação alheia. É o equivalente digital de deixar a porta de casa aberta porque “quem é do bem não entra sem ser convidado”.

E aqui mora a piada mais amarga do caso: BobDaHacker apontou que boa parte dos frameworks de desenvolvimento cuida muito bem de autenticar quem é você, mas se esquece solenemente de verificar se você tem permissão para ver o que está pedindo. É a diferença entre o segurança que checa seu crachá na entrada e o segurança que, depois de te deixar entrar, permite que você vasculhe qualquer gaveta do prédio. O próprio OWASP, aquele compêndio quase bíblico dos pecados capitais da segurança web, lista o “broken access control” como um dos riscos mais graves e recorrentes da internet, o que sugere que a humanidade continua cometendo o mesmo erro de design com uma fé inabalável na sorte.

O risco prático, para além do vexame institucional, é o phishing turbinado: com nome real, e-mail e contexto religioso em mãos, um golpista pode montar uma isca personalizada e emocionalmente competente (“Caro João, sua intenção de oração pelo Papa foi recebida, clique aqui para confirmar sua doação”), o tipo de mensagem que engana até quem normalmente desconfiaria de e-mail de príncipe nigeriano.

A recomendação prática, tanto do relatório quanto do bom senso, é a de sempre: desconfiar de mensagens não solicitadas que citem o Vaticano, a Rede Mundial de Oração do Papa ou qualquer variação do tema, e nunca clicar em links ou fornecer senhas sem verificar o remetente por canal oficial. Alguns usuários, por sorte ou paranoia preventiva, tinham usado apelidos ou o Hide My Email, da Apple, o que reduziu o estrago, mas não sumiu com ele.

No fim, fica a lição de sempre, repetida com a monotonia de um terço: toda organização que coleta dados em escala, seja ela uma fintech, uma rede social ou a sede da maior instituição religiosa do planeta, carrega responsabilidade técnica equivalente. Fé move montanhas, mas não substitui teste de autorização de API. E se antes bastava rezar para os pecados serem perdoados, agora também é bom rezar para que ninguém tenha copiado seu e-mail antes que o Vaticano lembrasse de trocar a fechadura.

Os hackerzinhos invadiram de dois em dois
Os hackerzinhos invadiram de dois em dois
Os podres do fiel
foram vistos por todos além do Senhor

Erguei as defesas e dai glória ao Admin
Erguei as defesas e dai glória ao Admin
Desinstala essa bagaça
E se livre dos hackers do Senhor

---

Fonte: Cyber Security News