ویٹیکن کی آفیشل Click To Pray ایپ، جسے جنوری 2019 میں خود Pope Francis نے پروموٹ کیا تھا، مہینوں تک 700,000 سے زائد صارفین کے نام، ای میل ایڈریس، تاریخ پیدائش، اور اکاؤنٹ کی تفصیلات ایک انتہائی بنیادی API اوور سائٹ کے ذریعے لیک کرتی رہی۔ یہ خامی اب پیچ (patch) کر دی گئی ہے، لیکن صرف اس وقت جب وائٹ ہیٹ ہیکر BobDaHacker نے 24 جولائی 2026 کو ان نتائج کو پبلک کیا، جس سے پہلے سات ماہ تک ویٹیکن کے کانٹیکٹس کی جانب سے ای میلز کا کوئی جواب نہیں دیا گیا تھا۔
پری آرڈر کے ساتھ 1-month GTA+ سبسکرپشن حاصل کریں۔
ابھی GTA 6 پری آرڈر کریں
ایک sequential ID کیسے سکیلیٹن کی (skeleton key) بن گئی
بات یہ ہے کہ یہ vulnerability بذات خود کوئی پیچیدہ چیز نہیں تھی۔ جب کوئی صارف Click To Pray کے لیے رجسٹر ہوتا، تو ایپ کا بیک اینڈ انہیں ایک sequential numeric ID تفویض کر دیتا۔ یوزر ون، یوزر ٹو، یوزر تھری، اور اسی طرح 700,000 سے اوپر تک۔ مسئلہ یہ تھا کہ https://api.clicktopray.org/user/users/[ID] پر موجود API endpoint کو کسی قسم کی authentication کی ضرورت ہی نہیں تھی۔ بس کوئی بھی نمبر ڈالیں، اور اس صارف کی مکمل پروفائل حاصل کر لیں۔
نہ کوئی authorization چیک، نہ کوئی اونرشپ ویلیڈیشن۔ بس ID کو انکریمنٹ کریں اور کسی اور کا ڈیٹا حاصل کر لیں۔ ایکسپوز ہونے والی فیلڈز میں فرسٹ نیم، لاسٹ نیم، ای میل ایڈریس، ملک، تاریخ پیدائش (جو بیک اینڈ میں borned_date کے نام سے سٹور تھی، کیونکہ بظاہر ecclesiastical Latin ہی وہ واحد زبان نہیں ہے جو یہاں سٹرگل کر رہی ہے)، اکاؤنٹ رول، اور یہ کہ آیا اکاؤنٹ ڈیلیٹ کیا گیا تھا یا نہیں، شامل تھے۔
رسپانس ہیڈرز نے بھی سرور کی شناخت Express، یعنی Node.js ویب فریم ورک کے طور پر کی۔ جیسا کہ BobDaHacker نے کہا، ویٹیکن اپنا پریئر انفراسٹرکچر اس فریم ورک پر چلا رہا تھا جو آپ Node.js بوٹ کیمپ کے دوسرے ہفتے میں سیکھتے ہیں۔
فکس سے پہلے سات ماہ کی خاموشی
BobDaHacker نے جنوری 2026 کے اوائل میں اس خامی کو دریافت کیا اور 3 جنوری کو نو الگ الگ ویٹیکن اور Click To Pray سے متعلقہ کانٹیکٹس کو ای میل کی۔ کسی ایک نے بھی جواب نہیں دیا۔ یہ vulnerability اس پوری خاموشی کے دوران کھلی رہی، اور مکمل طور پر نظر انداز کی گئی۔
صورتحال تب تبدیل ہوئی جب BobDaHacker نے یہ نتائج ایک صحافی تک پہنچائے اور 24 جولائی کو بلاگ پوسٹ شائع کی۔ اس کے فوراً بعد، اینڈ پوائنٹ نے خاموشی سے دوسرے صارفین کا ڈیٹا دینا بند کر دیا۔ نہ کوئی عوامی اعتراف، نہ کوئی ڈسکلوزر، اور نہ ہی اس ریسرچر کو کوئی اطلاع دی گئی جس نے اس کی نشاندہی کی تھی۔ فکس اب لائیو ہے: اپنی یوزر ID ریکویسٹ کرنے پر اب بھی آپ کی پروفائل ملتی ہے، جبکہ کسی دوسرے صارف کی ID ریکویسٹ کرنے پر صرف ان کی پبلک معلومات ہی نظر آتی ہیں۔
Click To Pray کی جانب سے آنے والی جائز ای میلز بھی میل کلائنٹس میں authentication وارننگز پیدا کر رہی تھیں، اور پیچ سے پہلے انہیں ممکنہ فشنگ (phishing) کے طور پر فلیگ کیا جا رہا تھا۔ اصلی ایپ کی ای میلز پہلے ہی بالکل ویسی ہی حرکت کر رہی تھیں جیسی کوئی برا ایکٹر بھیجتا ہے۔
یہ مخصوص ڈیٹا سیٹ خطرناک کیوں تھا
پوپ کی منظور شدہ پریئر ایپ استعمال کرنے والے لوگ زیادہ تر بڑی عمر کے اور کم تکنیکی تجربہ رکھنے والے ڈیموگرافک سے تعلق رکھتے ہیں۔ BobDaHacker کا اندازہ بالکل سیدھا تھا: یہ ڈیٹا فشنگ کے لیے ایک گولڈ مائن (goldmine) تھا۔ ایک اٹیکر جس کے پاس 700,000 تصدیق شدہ نام، ای میلز، اور ممالک تک رسائی ہو، اور وہ سب ایک ہائی ٹرسٹ مذہبی ادارے سے جڑے ہوں، وہ ایسے قائل کرنے والے ٹارگٹڈ پیغامات تیار کر سکتا تھا جن پر وصول کنندگان کا ایک بڑا حصہ بغیر کسی ہچکچاہٹ کے عمل کر لیتا۔
یہ منظرنامہ خود بخود بن جاتا ہے۔ ایک ای میل جو Holy Father کی طرف سے فوری توجہ کا دعویٰ کرتی، جس میں ویٹیکن سے ملتا جلتا ڈومین اور وصول کنندہ کا درست نام ہوتا، اس یوزر بیس میں انتہائی ہائی کلک ریٹ حاصل کرتی۔ حقیقت یہ ہے کہ جائز Click To Pray ای میلز پہلے ہی سپیم وارننگز کو ٹرگر کر رہی تھیں، جس نے صورتحال کو مزید خراب کر دیا۔ صارفین کے پاس اصلی مواصلات اور سپوفڈ (spoofed) ورژن کے درمیان فرق کرنے کا کوئی قابل اعتماد طریقہ نہیں تھا۔
اس طرح کی سکیورٹی سٹوریز میں زیادہ تر پلیئرز جو چیز مس کر دیتے ہیں وہ یہ ہے کہ ایکسپلائٹ (exploit) کی تکنیکی سادگی ہی سب سے زیادہ افسوسناک پہلو ہے۔ یہ کوئی زیرو ڈے (zero-day) نہیں تھا۔ یہ کوئی پیچیدہ سپلائی چین اٹیک نہیں تھا۔ یہ ایک API روٹ پر ایک غائب if سٹیٹمنٹ تھی، اس قسم کی اوور سائٹ جو کسی بھی سنجیدہ سافٹ ویئر شاپ میں پہلے کوڈ ریویو کے دوران فلیگ کر دی جاتی ہے۔
اس بارے میں وسیع تر تناظر کے لیے کہ ڈیجیٹل سسٹمز اور ان کے بنیادی انفراسٹرکچر کے فیصلے غیر متوقع طریقوں سے کیسے اثر انداز ہوتے ہیں، Nova Roma religion guide ایک اچھی یاد دہانی ہے کہ گیمز میں بھی، جو سسٹمز آپ کمزور بنیادوں پر بناتے ہیں، وہ بدترین لمحے پر گر جاتے ہیں۔
Click To Pray کی API کا پہلے اور بعد کا منظر
فکس فنکشنل ہے، لیکن ٹائم لائن اصل کہانی بتاتی ہے۔ ذمہ دارانہ ڈسکلوزر اور تدارک کے درمیان سات ماہ گزر گئے۔ پیچ صرف عوامی دباؤ کے بعد آیا، اور اس ریسرچر کے ساتھ کوئی رابطہ نہیں کیا گیا جس نے مسئلہ تلاش کیا تھا۔ دنیا کے سب سے زیادہ قابل شناخت اداروں میں سے ایک سے وابستہ لاکھوں صارفین والی ایپ کے لیے، یہ رسپانس ٹائم بنیادی سکیورٹی پریکٹس کی ایک سنگین ناکامی ہے۔
اگر آپ یہ سمجھنا چاہتے ہیں کہ ٹرسٹ سسٹمز اور انفراسٹرکچر کے فیصلے کس طرح اہم طریقوں سے آپس میں جڑے ہوتے ہیں، تو ہمارا gaming guides hub بہت سی ایسی گیمز کا احاطہ کرتا ہے جہاں آپ کا ابتدائی آرکیٹیکچر ہی ہر چیز کا تعین کرتا ہے۔ معلوم ہوا کہ ویٹیکن کو بھی لانچ سے پہلے ایسے ہی کسی سبق کی ضرورت تھی۔
Click To Pray ایپ بدستور دستیاب ہے۔ اگر آپ سائن اپ ہیں، تو آپ کا ڈیٹا اب اس authorization چیک کے پیچھے محفوظ ہونا چاہیے جو پہلے دن سے وہاں ہونا چاہیے تھا۔ Nova Roma tech tree guide سے ہٹ کر، یہاں وسیع تر سبق سادہ ہے: sequential IDs جمع پبلک API اینڈ پوائنٹس جمع نو آتھ (no auth) کا مطلب ہے ایک ایسا بریچ (breach) جو ہونے کا منتظر ہے، اور 700,000 لوگوں نے اس مساوات کی قیمت ادا کی جبکہ ویٹیکن کا ان باکس آدھے سال تک خاموش رہا۔
