Cette hackeuse a sauvé les données de 700 000 fidèles du pape
Le catholicisme connaît de nombreux chemins vers la prière. Perle après perle, le chapelet glisse entre les doigts, dans les églises, les fidèles allument des cierges et associent leur lumière vacillante à une intention. Depuis des siècles, les cloches des églises appellent à la prière.
La plateforme catholique «Click To Pray» transpose cet appel dans le numérique: au lieu d'un tintement de cloche, un simple clic de souris suffit pour rejoindre une communauté de prière mondiale.
Que s'est-il passé?
«Click to Pray» est l'application de prière officielle du pape. Elle relie des fidèles du monde entier et propose chaque jour de courtes suggestions de prière. Les utilisateurs peuvent partager leurs propres intentions, prier pour autrui et s'associer aux intentions de prière mensuelles du pape.
Selon ses propres indications, le réseau mondial de prière du pape avait touché plus de 2,5 millions de personnes au total à fin 2021, l'application étant utilisée par quelque 400 000 personnes chaque année. Elle a également été employée lors de grands événements ecclésiaux, comme les Journées mondiales de la jeunesse 2023 à Lisbonne. Ceux qui n'étaient pas sur place pouvaient accéder à distance aux prières quotidiennes.
Et c'est justement au niveau de l'accès que résidait le problème. Début janvier 2026, la hackeuse «bobdahacker» a découvert une grave faille de sécurité dans l'application. Une interface technique permettait de récupérer les données de comptes tiers, notamment les noms, adresses e-mail, dates de naissance et pays d'origine des utilisateurs. Il aurait suffi, semble-t-il, de modifier le numéro séquentiel d'un compte. Les informations de plus de 719 000 personnes inscrites auraient ainsi théoriquement pu être collectées de manière automatisée.
La faille désormais refermée
De telles données auraient pu être utiles à des criminels pour envoyer des e-mails d'escroquerie ou de phishing d'apparence authentique au nom du pape ou du Vatican. Rien n'indique toutefois à ce jour que l'ensemble de la base de données ait réellement été copié ou détourné.
La hackeuse a signalé la faille de sécurité au Vatican le 3 janvier 2026, mais n'a reçu aucune réponse. De même, une demande ultérieure des médias serait, selon elle, restée sans réponse. Ce n'est qu'après qu'un média spécialisé en sécurité informatique a rendu compte de l'affaire que l'interface a été modifiée.
Depuis lors, les données privées de comptes tiers ne sont plus accessibles. Le 24 juillet, la hackeuse a confirmé que la faille avait finalement été refermée. (trad. ysc)