Uma aplicação de orações lançada pelo Papa Francisco em 2019 continha uma falha de segurança que expôs as informações pessoais de centenas de milhares de utilizadores, antes de ser finalmente corrigida este ano.
A aplicação Click To Pray foi desenvolvida pela La Machi Comunicação para Boas Causas para a Rede Mundial de Oração do Papa. O Papa Francisco endossou o serviço e tem uma conta na plataforma. A aplicação oferece uma “comunidade digital de oração”, guiando as pessoas através de três orações diárias.
Em janeiro deste ano, o investigador independente BobDaHacker descobriu uma falha no endpoint da API da aplicação. Uma API é um serviço online que responde a pedidos de dados. Normalmente, apenas a aplicação móvel deve enviar estes pedidos, e a API deve devolver informações apenas sobre a pessoa específica que está a utilizar a aplicação. No entanto, BobDaHacker descobriu que a API estava a fornecer informações sobre qualquer utilizador da aplicação a qualquer pessoa que o solicitasse.
Normalmente, as aplicações consultam um endpoint enviando um ID específico ao utilizador. Neste caso, estes IDs eram simplesmente números sequenciais. De acordo com BobDaHacker, havia 719.517 IDs registados para a aplicação, o que significa que mais de 700.000 utilizadores tinham informações armazenadas no sistema.
O problema era que a API não verificava se quem solicitava um registo estava realmente autorizado a visualizá-lo. Qualquer pessoa podia solicitar informações para qualquer ID, de 1 a 719.517. A API retornava então o registo desse utilizador, incluindo:
- Endereço de correio eletrónico
- Nome e apelido
- País
- Data de nascimento
Este tipo de falha é conhecido como Referência Direta Insegura a Objetos (IDOR, na sigla em inglês) e já o vimos anteriormente. A aplicação do tipo stalkerware TheTruthSpy foi apanhada a divulgar informações pessoais das suas vítimas através de uma vulnerabilidade IDOR em 2022, e o problema ainda não tinha sido corrigido dois anos depois. O servidor web do dispositivo GPS de rastreamento de veículos MiCODUS MV720 também apresentava esta vulnerabilidade em 2022, colocando 1,5 milhões de pessoas em risco.
Uma segunda falha na API do Click To Pray veio agravar ainda mais a situação. Quando as pessoas se registam numa aplicação, o serviço envia normalmente um link para o seu endereço de e-mail contendo um código único conhecido como hash de validação. Clicar no link comprova que têm acesso àquela caixa de entrada e, por isso, são as proprietárias do endereço de e-mail com o qual se registaram.
Infelizmente, a API Click To Pray também retornava o hash de validação na sua resposta quando alguém clicava no link de verificação. Estas respostas são fáceis de inspecionar utilizando as ferramentas de programador de um browser, o que significa que um atacante poderia registar uma conta utilizando um endereço de e-mail que não controlasse e verificá-la antes mesmo de o verdadeiro proprietário ver o e-mail de verificação.
Seis meses, nove contactos, zero respostas.
O BobDaHacker reportou o bug pela primeira vez a 3 de janeiro de 2026, enviando e-mails para nove endereços diferentes, incluindo o serviço Click To Pray, a Rede Mundial de Oração do Papa e um endereço de informação geral. Não obteve resposta. O problema só foi corrigido mais de seis meses depois, quando o investigador contactou um jornalista, que enviou um pedido ao Vaticano.
A divulgação responsável só funciona quando o destinatário tem um processo de receção de informação em funcionamento. Nove e-mails não respondidos foram um forte indício de que tal processo não existia.
Não é a primeira falha de segurança numa aplicação do Vaticano.
Esta não é a primeira falha de segurança que envolve uma aplicação do Vaticano. Em 2019, a empresa britânica Fidus Information Security descobriu uma falha na aplicação do Rosário Eletrónico Bluetooth do Vaticano. A aplicação não utilizava uma senha convencional para o login. Em vez disso, os utilizadores introduziam o seu endereço de e-mail e a aplicação enviava um PIN de quatro dígitos para esse endereço. De seguida, inseriam o PIN para fazer login.
No entanto, quando o utilizador introduzia o seu endereço de e-mail, a aplicação também retornava o PIN em texto simples na resposta web. Isto permitia que um atacante assumisse o controlo da conta de qualquer pessoa, simplesmente inspecionando a resposta.
Esta falha era semelhante ao problema de verificação de conta que BobDaHacker descobriu mais de seis anos depois. Embora os incidentes envolvessem aplicações diferentes, mostram como o mesmo tipo de erro de segurança pode reaparecer com anos de intervalo.
BobDaHacker observou ainda que o Estado da Cidade do Vaticano introduziu o seu próprio regulamento de proteção de dados , o Decreto n.º DCLVII, a 30 de abril de 2024. O regulamento exige salvaguardas adequadas para os dados pessoais. No entanto, não é claro se se aplica diretamente ao Click To Pray ou às organizações que o operam.
O que os utilizadores podem fazer agora
Felizmente, alguém do lado do Vaticano já corrigiu as falhas, mas a vulnerabilidade fez com que os dados dos utilizadores estivessem expostos durante um longo período. Se registou uma conta, considere que o seu e-mail, nome, data de nascimento e país podem estar em circulação. Esteja atento a tentativas de phishing que mencionem a aplicação e desconfie especialmente de mensagens que afirmam ser de serviços afiliados ao Vaticano e que lhe pedem para clicar, verificar ou fazer login.
Isto é particularmente importante porque o BobDaHacker também relatou que os e-mails do serviço falharam as verificações padrão de autenticação de e-mail. Estas verificações ajudam os fornecedores de e-mail a confirmar se uma mensagem veio realmente do domínio que afirma representar. Segundo o investigador, isto poderia facilitar a atuação dos atacantes de phishing que se fazem passar pela organização.
O seu nome, morada e número de telefone podem já estar à venda.
As empresas de comercialização de dados recolhem e vendem os seus dados pessoais a quem estiver disposto a pagar.Personal Data Remover Malwarebytes Personal Data Remover e elimina as suas informações, mantendo-se em alerta para garantir que tudo permanece assim.
