바티칸의 '클릭토프라이' 앱 보안 결함, 70만 명 이상 사용자 노출 — 앱이 6개월 이상 데이터 누출 계속 중

파피에 감시의 공식 기도 앱인 '클릭토프라이'가 보안 취약점을 지니고 있어 사용자 데이터 누출이 발생했다고 보안 연구자가 발견했다. 2026년 1월 보브다해커는 바티칸과 연계된 앱이 API 엔드포인트를 통해 누구나 사용자 ID만 입력하면 데이터에 접근할 수 있음을 확인했다. 취약점을 발견 즉시 9명의 개인에게 문의했으나 답변 없이 6개월간 개선되지 않았다. 앱 데이터베이스에는 이름, 이메일 주소, 생년월일 등이 포함되어 있었고, 이는 피싱 공격에 취약한 피해자에게 이메일을 발송하는 대형 스캠 머신에 이어질 수 있는 위험을 안겼다. 또한 사용자 ID가 순차적으로 할당되며 API 요청 제한이 없어 전체 사용자 리스트를 자동으로 획득하는 것도 매우 용이했다.