Click To Pray รั่วข้อมูลส่วนบุคคลของผู้ใช้กว่า 700 000 รายผ่านช่องโหว่ IDOR

การแอปพลิเคชัน Click To Pray ‑ แอปศาสนาที่ได้รับการรับรองจากสังฆราชแห่งโลก‑ได้เปิดเผยข้อมูลส่วนบุคคลของผู้ใช้กว่า 700,000 รายเป็นเวลาหลายเดือนตามที่นักวิจัยด้านความปลอดภัย “BobDaHacker” เผยแพร่ การรั่วไหลนี้ทำให้ผู้ใช้งาน – ส่วนใหญ่เป็นคนสูงอายุและเชื่อมั่นต่อองค์กรศาสนา – กลายเป็นเป้าหมายของการโจมตีฟิชชิงอย่างง่ายดาย

ความสำคัญของเหตุการณ์อยู่ที่ระดับสากล เนื่องจากแอปนี้ให้บริการใน 7 ภาษา ทั้ง iOS, Android และเว็ปไซต์ clicktopray.org ซึ่งเชื่อมต่อผู้คนทั่วโลกเพื่อร่วมภาวนาตามจุดประสงค์ของพระสังฆราช การรั่วไหลข้อมูลส่วนบุคคลของผู้ใช้จำนวนมหาศาลอาจทำให้ศักยภาพของแอปเสียหายและส่งผลกระทบต่อความเชื่อถือขององค์กรศาสนาในยุคดิจิทัล

Overview

แอป Click To Pray เป็นส่วนหนึ่งของเครือข่าย “Pope’s Worldwide Prayer Network” ซึ่งเปิดให้ลงทะเบียนผู้ใช้ผ่าน API ของระบบโดยมอบหมาย user‑ID ลำดับเลขจำนวนเต็มแก่แต่ละบัญชี ตั้งแต่ต้นปี 2026 มีผู้สมัครสมาชิกแล้วถึง 719,517 บัญชี ตามข้อมูลที่แหล่งข่าวระบุ

การออกแบบระบบไม่ได้มีขั้นตอนตรวจสอบสิทธิ์เมื่อเรียกดูข้อมูลผู้ใช้ผ่าน endpoint `GET https://api.clicktopray.org/user/users/{id}` ทำให้ใครก็สามารถส่งเลข ID ที่ต้องการและรับข้อมูลของบัญชีนั้นได้โดยไม่มีการยืนยันว่าเป็นเจ้าของจริง

นักวิจัย “BobDaHacker” รายงานช่องโหว่นี้ต่อองค์กรเมื่อ 3 มกราคม 2026 แต่จนถึงวันที่ 24 กรกฎาคม 2026 ยังไม่ได้รับการตอบกลับใด ๆ จากฝ่ายบริหารแอป

Vulnerability Details

ช่องโหว่ที่พบเป็นประเภท **Insecure Direct Object Reference (IDOR) ซึ่งเป็นความบกพร่องทั่วไปที่เกิดจากระบบให้ผู้ใช้ระบุตัวระบุของวัตถุโดยไม่ตรวจสอบสิทธิ์การเข้าถึง

• API ยอมรับค่า `{id}` ใด ๆ ที่อยู่ในรูปแบบเลขห้าหลักและส่งคืนข้อมูลผู้ใช้ทั้งหมด
• ข้อมูลที่เปิดเผยรวมถึง ชื่อ‑สกุล, อีเมล, ประเทศ, วันเดือนปีเกิด และสถานะการลบบัญชี

เนื่องจาก ID เป็นลำดับต่อเนื่อง ผู้โจมตีสามารถทำการวนลูปเพื่อดึงข้อมูลของผู้ใช้ทุกบัญชีได้เพียงหนึ่งคำขอต่อ ID เท่านั้น ทำให้กระบวนการรวบรวมข้อมูลเป็นเรื่องที่ง่ายและเร็ว

Data Exposed

ข้อมูลส่วนบุคคลที่ถูกเปิดเผยผ่าน API มีดังต่อไปนี้

• ชื่อจริงและนามสกุล
• อีเมลแอดเดรส
• ประเทศของผู้ใช้
• วันเดือนปีเกิด
• สถานะว่าบัญชีถูกลบหรือไม่

การที่ข้อมูลเหล่านี้เป็นแบบเปิดเผยโดยไม่มีการป้องกันเพิ่มเติม ทำให้ผู้ประสงค์ร้ายสามารถสร้างฐานข้อมูลอีเมลขนาดใหญ่เพื่อใช้ในการส่งฟิชชิงหรือสแปมได้อย่างมีประสิทธิภาพ

Potential Threats

นักวิจัยชี้ว่า ผู้ใช้งานส่วนใหญ่เป็นคนสูงอายุที่ไม่ค่อยเชี่ยวชาญเทคโนโลยี จึงเสี่ยงต่อการถูกหลอกให้คลิกลิงก์ปลอมที่อ้างว่า “พระสังฆราชต้องการความช่วยเหลือเร่งด่วน” ซึ่งอาจนำไปสู่การขโมยข้อมูลส่วนตัวหรือติดตั้งมัลแวร์

นอกจากนี้ ระบบส่งอีเมลตรวจสอบบัญชี (`validation_hash`) มีค่า UUID ที่ส่งกลับใน response body โดยตรง ทำให้ผู้โจมตีสามารถสร้างบัญชีปลอมและยืนยันโดยไม่ต้องรออีเมลจริง อีกทั้งอีเมลแจ้งเตือนจากแอปยังไม่มีการตรวจสอบ DKIM/SPF ทำให้ดูคล้ายกับอีเมลฟิชชิงทั่วไป

Response and Recommendations

จนถึงขณะนี้ ฝ่าย “Pope’s Worldwide Prayer Network” ยังไม่ได้ออกคำชี้แจงหรือดำเนินการแก้ไขช่องโหว่ตามที่นักวิจัยร้องขอ การตอบสนองที่ช้าอาจส่งผลให้ความเชื่อมั่นของผู้ใช้ลดลงอย่างต่อเนื่อง

สำหรับผู้ดูแลระบบและผู้พัฒนาแอป ควรเร่งปรับปรุงดังนี้

• เพิ่มการตรวจสอบสิทธิ์ (authorization) ทุกครั้งที่เรียกดูข้อมูลตาม `user ID`
• ใช้ตัวระบุแบบสุ่มหรือ UUID แทนลำดับเลขต่อเนื่องเพื่อยากต่อการคาดเดา
• กำหนดอัตราการร้องขอ (rate limiting) เพื่อป้องกันการสแกนบัญชีจำนวนมาก

ผู้ใช้ที่เคยสมัครควรตรวจสอบอีเมลแจ้งเตือนจากแหล่งที่มาที่เชื่อถือได้ และเปลี่ยนรหัสผ่านหากสงสัยว่าข้อมูลของตนถูกเปิดเผย

Impact

การรั่วไหลข้อมูลส่วนบุคคลจำนวนมากในแอปศาสนานี้ไม่เพียงแต่ทำให้ผู้ใช้ตกเป็นเหยื่อฟิชชิงเท่านั้น แต่ยังสร้างความเสี่ยงต่อภาพลักษณ์ของสังฆราชและองค์กรศาสนาในยุคดิจิทัล การที่ข้อมูลเช่นอีเมลและวันเกิดถูกเปิดเผยอย่างไม่มีการป้องกัน ทำให้แหล่งข้อมูลนี้กลายเป็น “ทองคำ” สำหรับผู้โจมตีทางไซเบอร์

หากไม่ดำเนินการแก้ไขโดยเร็ว ความเสียหายต่อความไว้วางใจของประชาชนต่อเทคโนโลยีศาสนาอาจขยายไปสู่บริการออนไลน์อื่น ๆ ขององค์กรศาสนาที่มีฐานผู้ใช้ใหญ่

Summary

แอป Click To Pray เปิดเผยข้อมูลส่วนบุคคลของผู้ใช้งานกว่า 700,000 รายผ่านช่องโหว่ประเภท IDOR ที่ไม่ได้ตรวจสอบสิทธิ์ การรั่วไหลนี้ทำให้ผู้ใช้เสี่ยงต่อฟิชชิงและการโจมตีทางไซเบอร์อย่างหนัก. เจ้าหน้าที่ยังไม่ตอบรับข้อร้องเรียนของนักวิจัย จึงเร่งให้มีการแก้ไขระบบทันทีเพื่อปกป้องข้อมูลและรักษาความเชื่อมั่นของสังฆราชในยุคดิจิทัล.