Una aplicación de oración lanzada por el Papa Francisco en 2019 contenía una falla de seguridad que expuso la información personal de cientos de miles de usuarios antes de que finalmente se solucionara este año.
La aplicación Click To Pray fue desarrollada por La Machi Communication for Good Causes para la Red Mundial de Oración del Papa. El Papa Francisco respaldó el servicio y tenía una cuenta en él. La aplicación ofrece una “comunidad digital de oración” guiando a las personas a través de tres oraciones diarias.
En enero de este año, el investigador independiente BobDaHacker descubrió una vulnerabilidad en el punto final de la API de la aplicación. Una API es un servicio en línea que responde a solicitudes de datos. Normalmente, solo la aplicación móvil debería enviar dichas solicitudes, y la API solo debería devolver información sobre la persona específica que usa esa aplicación. Sin embargo, BobDaHacker descubrió que estaba divulgando información sobre cualquier usuario de la aplicación a cualquiera que la solicitara.
Normalmente, las aplicaciones consultan un punto final enviándole un identificador específico para el usuario. En este caso, dichos identificadores eran simplemente números secuenciales. Según BobDaHacker, la aplicación tenía 719.517 identificadores registrados, lo que significa que más de 700.000 usuarios tenían información almacenada en el sistema.
El problema era que la API no verificaba si quien solicitaba un registro estaba realmente autorizado para verlo. Cualquiera podía solicitar información para cualquier ID, desde 1 hasta 719.517. La API devolvía entonces el registro de ese usuario, que incluía:
- Dirección de correo electrónico
- Nombre y apellido
- País
- Fecha de nacimiento
Este tipo de fallo se conoce como Referencia Directa a Objeto Insegura (IDOR, por sus siglas en inglés) y ya lo habíamos visto antes. En 2022, se descubrió que la aplicación TheTruthSpy, de tipo espionaje, filtraba información sobre sus víctimas a través de una vulnerabilidad IDOR, y dos años después aún no se había solucionado. El servidor web del dispositivo GPS de seguimiento de vehículos MiCODUS MV720 también presentaba esta vulnerabilidad en 2022, poniendo en riesgo a 1,5 millones de personas.
Un segundo fallo en la API de Click To Pray empeoró las cosas. Cuando los usuarios se registran en una aplicación, el servicio suele enviar un enlace a su correo electrónico con un código único conocido como hash de validación. Al hacer clic en el enlace, se comprueba que tienen acceso a esa bandeja de entrada y, por lo tanto, que son los propietarios de la dirección de correo electrónico con la que se registraron.
Lamentablemente, la API Click To Pray también devolvía el hash de validación en su respuesta cuando alguien hacía clic en el enlace de verificación. Estas respuestas son fáciles de inspeccionar con las herramientas para desarrolladores de un navegador web, lo que significa que un atacante podría registrar una cuenta con una dirección de correo electrónico que no controlara y verificarla antes de que el verdadero propietario viera el correo electrónico de verificación.
Seis meses, nueve contactos, cero respuestas.
BobDaHacker reportó el error por primera vez el 3 de enero de 2026, enviando correos electrónicos a nueve direcciones, incluyendo el servicio Click To Pray, la Red Mundial de Oración del Papa y una dirección de información general. No obtuvo respuesta. El problema se solucionó más de seis meses después, cuando el investigador contactó a un periodista, quien presentó una consulta al Vaticano.
La divulgación responsable solo funciona cuando el destinatario cuenta con un proceso de recepción eficaz. Nueve correos electrónicos sin respuesta fueron una clara señal de que dicho proceso no existía.
No es el primer fallo de seguridad en una aplicación del Vaticano.
Esta no es la primera falla de seguridad relacionada con una aplicación del Vaticano. En 2019, la empresa británica Fidus Information Security descubrió una vulnerabilidad en la aplicación del rosario electrónico Bluetooth del Vaticano. Esta no utilizaba una contraseña convencional para iniciar sesión. En su lugar, los usuarios ingresaban su dirección de correo electrónico y la aplicación enviaba un PIN de cuatro dígitos a esa dirección. Luego, ingresaban el PIN para acceder.
Sin embargo, cuando el usuario ingresaba su dirección de correo electrónico, la aplicación también devolvía el PIN en texto plano en su respuesta web. Esto permitía a un atacante tomar el control de la cuenta de cualquier persona simplemente inspeccionando la respuesta.
Esa falla era similar al problema de verificación de cuentas que BobDaHacker descubrió más de seis años después. Si bien los incidentes involucraron aplicaciones diferentes, demuestran cómo el mismo tipo de error de seguridad puede reaparecer con años de diferencia.
BobDaHacker también señaló que el Estado de la Ciudad del Vaticano introdujo su propio reglamento de protección de datos , el Decreto n.º DCLVII, el 30 de abril de 2024. Dicho reglamento exige medidas de seguridad adecuadas para los datos personales. Sin embargo, no está claro si se aplica directamente a Click To Pray o a las organizaciones que lo gestionan.
Qué pueden hacer los usuarios ahora
Afortunadamente, alguien del Vaticano ya ha solucionado los fallos, pero la vulnerabilidad provocó que los datos de los usuarios estuvieran expuestos durante mucho tiempo. Si registraste una cuenta, asume que tu correo electrónico, nombre, fecha de nacimiento y país podrían estar en circulación. Ten cuidado con los intentos de phishing que hagan referencia a la aplicación y desconfía especialmente de los mensajes que supuestamente provienen de servicios afiliados al Vaticano y que te piden que hagas clic, verifiques o inicies sesión.
Esto es particularmente importante porque BobDaHacker también informó que los correos electrónicos del servicio no superaron las comprobaciones estándar de autenticación. Estas comprobaciones ayudan a los proveedores de correo electrónico a verificar que un mensaje realmente proviene del dominio que dice representar. Según el investigador, esto podría facilitar que los atacantes de phishing se hagan pasar por la organización.
Es posible que tu nombre, dirección y número de teléfono ya estén a la venta.
Las empresas de venta de datos recopilan y venden tus datos personales a cualquiera que esté dispuesto a pagar por ellos. Malwarebytes Personal Data Remover losPersonal Data Remover y elimina tu información, y luego se encarga de vigilar que todo siga así.
