La fiducia di oltre 719.500 persone è rimasta appesa a un sistema che, per almeno sei mesi, ha trattato i dati personali con una superficialità difficilmente giustificabile. Nomi, indirizzi email, Paese di provenienza, data di nascita. Informazioni sufficienti per costruire profili dettagliati degli iscritti all’app ufficiale della Rete Mondiale di Preghiera del Papa. Nessuna sofisticata operazione di spionaggio. Bastava modificare un semplice numero all’interno di una richiesta per accedere ai dati di chiunque.
I preti e la fiducia di oltre 719.500
Click To Pray, l’applicazione promossa personalmente da Papa Francesco e lanciata nel 2019, è finita al centro di una vicenda che mette sotto accusa non soltanto un errore tecnico, ma un’intera gestione della sicurezza. La ricercatrice conosciuta come BobDaHacker ha scoperto che il sistema assegnava a ogni utente un identificativo progressivo e restituiva automaticamente i dati corrispondenti a qualsiasi numero richiesto, senza verificare l’identità di chi effettuava la richiesta. Una vulnerabilità IDOR, tra le falle più banali e conosciute nello sviluppo di applicazioni web, presente da anni nei manuali di sicurezza e normalmente individuata durante i controlli più elementari del codice.
Il punto
Il punto, però, non è la sola esistenza della falla. Il punto è che qualcuno è stato avvisato e ha scelto, consapevolmente o per gravissima inefficienza, di non intervenire. Il 3 gennaio la ricercatrice ha inviato la segnalazione a nove diversi contatti tra Vaticano e sviluppatori. Per sei mesi non è arrivata una risposta efficace. Soltanto dopo che la vicenda è stata resa pubblica dalla stampa specializzata il problema è stato corretto. Una cronologia che pesa più di qualsiasi comunicato.
I preti e la fiducia
Non basta rifugiarsi dietro la parola “errore”. Gli errori si correggono, le segnalazioni si valutano, i rischi si affrontano. Ignorare un avvertimento significa assumersi la responsabilità delle possibili conseguenze. Quando l’appartenenza religiosa diventa il motivo per cui milioni di fedeli si affidano serenamente a uno strumento digitale, il livello di diligenza richiesto dovrebbe essere superiore, non inferiore.
Responsabilità dirette
La Chiesa chiede da sempre responsabilità morale ai fedeli. Predica prudenza, coscienza, rispetto della persona. Proprio per questo l’asticella deve essere più alta quando è la stessa struttura ecclesiale a raccogliere dati personali. Chi gestisce strumenti ufficiali riconducibili al Vaticano non amministra soltanto un’applicazione, amministra la fiducia di centinaia di migliaia di persone che consegnano i propri dati convinte di trovarsi all’interno di un ambiente sicuro.
I preti…
Il Vaticano dispone dal 2024 di una normativa sulla protezione dei dati personali. Una legge, da sola, non protegge nessuno se manca chi la applica. Le procedure valgono quanto le persone chiamate a rispettarle. Una segnalazione ignorata per sei mesi racconta una catena organizzativa che, almeno in questa vicenda, non ha funzionato come avrebbe dovuto.
Una questione complicata
La situazione diventa ancora più delicata se si considera quanto riferito dalla ricercatrice sulle email inviate dall’app, già segnalate da diversi sistemi di posta come potenziali messaggi di phishing per problemi di autenticazione del mittente. Un’anomalia che rende più difficile distinguere le comunicazioni autentiche da quelle fraudolente. Con centinaia di migliaia di indirizzi email potenzialmente esposti, il rischio di campagne mirate aumenta in modo significativo.
Sarebbe troppo semplice attribuire tutto a un programmatore distratto. Le vulnerabilità tecniche nascono nei software, le responsabilità nascono nelle organizzazioni. Esistono dirigenti, responsabili dei progetti, referenti della sicurezza, figure incaricate di valutare gli avvisi e decidere gli interventi. Sono questi i livelli sui quali è legittimo chiedere spiegazioni.
I preti e la fiducia di oltre 719.500
I sacerdoti, in quanto tali, non possono essere considerati automaticamente responsabili di una gestione tecnica che compete a chi amministra e governa il progetto. Le responsabilità, se esistono, vanno individuate nelle persone e nelle strutture che avevano il dovere di garantire la sicurezza dell’applicazione e di rispondere alle segnalazioni ricevute. Se per sei mesi nessuno ha ritenuto urgente proteggere i dati di oltre settecentomila utenti, il problema non è soltanto informatico… è un problema di governance, di controllo e di responsabilità istituzionale. Perché quando si chiede fiducia ai fedeli, quella fiducia deve essere ricambiata con competenza, trasparenza e tempestività… ma tutto questo, quando c’è di mezzo il Vaticano non avviene mai a caso.
7