Click To Pray («Clicca per pregare») è l’applicazione ufficiale della Rete Mondiale di Preghiera del Papa.

A luglio 2026 nell’app si contavano 719.517 account registrati. E sono stati proprio questi profil ad essere rimasti completamente esposti.

Un ricercatore di sicurezza noto con lo pseudonimo BobDaHacker ha individuato nelle API una classica vulnerabilità di tipo IDOR (Insecure Direct Object Reference — riferimento diretto a un oggetto non sicuro).

Al momento della registrazione, all’utente veniva assegnato un ID numerico sequenziale e un endpoint non protetto restituiva i dati di qualsiasi account senza alcun controllo dei permessi: bastava semplicemente incrementare quel numero di un’unità.

La risposta del server restituiva l’indirizzo e-mail, nome e cognome, Paese, data di nascita, ruolo dell’account e l’indicazione dell’eventuale eliminazione.

Gli account con gli ID più bassi appartenevano al personale stesso del progetto, mentre nell’elenco risultava visibile anche la presenza di privilegi di amministratore.

Non vi era alcuna limitazione sulla frequenza delle richieste, per cui sarebbe stato possibile scaricare l’intero database tramite un semplice ciclo da 719.517 iterazioni — una sola richiesta GET per ciascun utente. Per sfruttare la falla non serviva alcuna competenza tecnica avanzata: era sufficiente un normale browser.

La seconda scoperta si è rivelata non meno emblematica.

L’endpoint di registrazione restituiva nel corpo della risposta il campo validation hash — esattamente l’UUID utilizzato nel link per la conferma dell’e-mail. Ciò significa che era possibile registrare un account usando l’indirizzo di un’altra persona e «confermarlo» all’istante, senza neppure accedere alla casella di posta.

Inoltre, i record SPF, DKIM e DMARC del servizio non erano configurati correttamente: i client di posta contrassegnavano i messaggi autentici provenienti da Click To Pray come possibili falsi — il che significa che una campagna di phishing sarebbe risultata del tutto convincente quanto una comunicazione legittima.

La vulnerabilità era stata segnalata il 3 gennaio 2026, ma nessuno ha fornito risposta. Nemmeno lo sviluppatore dell’app, l’agenzia di lingua spagnola La Machi, ha risposto alle sollecitazioni.

Il pericolo principale qui non risiede nella complessità tecnica, bensì nella qualità del database stesso: oltre 700.000 indirizzi verificati appartenenti a persone che riposto fiducia in tutto ciò che riguarda il Vaticano, tra le quali figurano molti anziani e utenti con scarse competenze tecnologiche.

La falla è stata risolta soltanto il 24 luglio — poco dopo la pubblicazione della notizia sulla testata Dark Reading. Nessuno ha informato il ricercatore dell’avvenuta correzione: lo ha appreso da un commento su Reddit ed è andato a verificare di persona.