Um aplicativo de oração lançado pelo Papa Francisco em 2019 continha uma falha de segurança que expôs as informações pessoais de centenas de milhares de usuários, antes de ser finalmente corrigida este ano.
O aplicativo Click To Pray foi desenvolvido pela La Machi Comunicação para Boas Causas para a Rede Mundial de Oração do Papa. O Papa Francisco endossou o serviço e possui uma conta na plataforma. O aplicativo oferece uma “comunidade digital de oração”, guiando as pessoas por meio de três orações diárias.
Em janeiro deste ano, o pesquisador independente BobDaHacker descobriu uma falha no endpoint da API do aplicativo. Uma API é um serviço online que responde a solicitações de dados. Normalmente, apenas o aplicativo móvel deve enviar essas solicitações, e a API deve retornar informações apenas sobre a pessoa específica que está usando o aplicativo. No entanto, BobDaHacker descobriu que a API estava fornecendo informações sobre qualquer usuário do aplicativo para qualquer pessoa que solicitasse.
Normalmente, os aplicativos consultam um endpoint enviando um ID específico para o usuário. Nesse caso, esses IDs eram simplesmente números sequenciais. De acordo com BobDaHacker, havia 719.517 IDs registrados para o aplicativo, o que significa que mais de 700.000 usuários tinham informações armazenadas no sistema.
O problema era que a API não verificava se quem solicitava um registro estava realmente autorizado a visualizá-lo. Qualquer pessoa podia solicitar informações para qualquer ID, de 1 a 719.517. A API então retornava o registro desse usuário, incluindo:
- Endereço de e-mail
- Nome e sobrenome
- País
- Data de nascimento
Esse tipo de falha é conhecido como Referência Direta Insegura a Objetos (IDOR, na sigla em inglês) e já vimos isso antes. O aplicativo do tipo stalkerware TheTruthSpy foi flagrado vazando informações pessoais de suas vítimas por meio de uma vulnerabilidade IDOR em 2022, e o problema ainda não havia sido corrigido dois anos depois. O servidor web do dispositivo GPS de rastreamento veicular MiCODUS MV720 também apresentava essa vulnerabilidade em 2022, colocando 1,5 milhão de pessoas em risco.
Uma segunda falha na API do Click To Pray piorou ainda mais a situação. Quando as pessoas se cadastram em um aplicativo, o serviço normalmente envia um link para o endereço de e-mail delas contendo um código exclusivo conhecido como hash de validação. Clicar no link comprova que elas têm acesso àquela caixa de entrada e, portanto, são as proprietárias do endereço de e-mail com o qual se cadastraram.
Infelizmente, a API Click To Pray também retornava o hash de validação em sua resposta quando alguém clicava no link de verificação. Essas respostas são fáceis de inspecionar usando as ferramentas de desenvolvedor de um navegador, o que significa que um invasor poderia registrar uma conta usando um endereço de e-mail que não controlasse e verificá-la antes mesmo que o verdadeiro proprietário visse o e-mail de verificação.
Seis meses, nove contatos, zero respostas.
BobDaHacker relatou o bug pela primeira vez em 3 de janeiro de 2026, enviando e-mails para nove endereços diferentes, incluindo o serviço Click To Pray, a Rede Mundial de Oração do Papa e um endereço de informações gerais. Não obteve resposta. O problema só foi corrigido mais de seis meses depois, quando o pesquisador contatou um jornalista, que enviou uma solicitação ao Vaticano.
A divulgação responsável só funciona quando o destinatário possui um processo de recebimento de informações em funcionamento. Nove e-mails não respondidos foram um forte indício de que tal processo não existia.
Não é a primeira falha de segurança em um aplicativo do Vaticano.
Esta não é a primeira falha de segurança envolvendo um aplicativo do Vaticano. Em 2019, a empresa britânica Fidus Information Security descobriu uma falha no aplicativo do Rosário Eletrônico Bluetooth do Vaticano. O aplicativo não utilizava uma senha convencional para login. Em vez disso, os usuários inseriam seu endereço de e-mail e o aplicativo enviava um PIN de quatro dígitos para esse endereço. Em seguida, eles inseriam o PIN para fazer login.
No entanto, quando o usuário inseria seu endereço de e-mail, o aplicativo também retornava o PIN em texto simples na resposta da web. Isso permitia que um invasor assumisse o controle da conta de qualquer pessoa simplesmente inspecionando a resposta.
Essa falha era semelhante ao problema de verificação de conta que BobDaHacker descobriu mais de seis anos depois. Embora os incidentes envolvessem aplicativos diferentes, eles mostram como o mesmo tipo de erro de segurança pode reaparecer com anos de intervalo.
BobDaHacker também observou que o Estado da Cidade do Vaticano introduziu seu próprio regulamento de proteção de dados , o Decreto nº DCLVII, em 30 de abril de 2024. O regulamento exige salvaguardas adequadas para dados pessoais. No entanto, não está claro se ele se aplica diretamente ao Click To Pray ou às organizações que o operam.
O que os usuários podem fazer agora
Felizmente, alguém do lado do Vaticano já corrigiu as falhas, mas a vulnerabilidade significava que os dados dos usuários ficaram expostos por um longo período. Se você registrou uma conta, considere que seu e-mail, nome, data de nascimento e país podem estar em circulação. Fique atento a tentativas de phishing que mencionem o aplicativo e desconfie especialmente de mensagens que afirmam ser de serviços afiliados ao Vaticano e que pedem para você clicar, verificar ou fazer login.
Isso é particularmente importante porque BobDaHacker também relatou que e-mails do serviço falharam nas verificações padrão de autenticação de e-mail. Essas verificações ajudam os provedores de e-mail a confirmar se uma mensagem realmente veio do domínio que alega representar. Segundo o pesquisador, isso poderia facilitar a atuação de atacantes de phishing que se fazem passar pela organização.
Seu nome, endereço e número de telefone podem já estar à venda.
Os corretores de dados coletam e vendem seus dados pessoais para qualquer pessoa disposta a pagar.Personal Data Remover Malwarebytes Personal Data Remover osPersonal Data Remover e remove suas informações, mantendo-se em alerta para garantir que tudo permaneça assim.
