Una grave vulnerabilità nell’app di preghiera Click to Pray ha lasciato accessibili i dati personali di quasi 720.000 account. Il servizio, legato al Vaticano e applicazione ufficiale della Rete Mondiale di Preghiera del Papa, permetteva di interrogare direttamente un endpoint API inserendo semplicemente l’identificativo numerico di un utente. La falla è stata individuata nel gennaio 2026 dal ricercatore di sicurezza noto come BobDaHacker.
Le informazioni recuperabili comprendevano nome e cognome, indirizzo email, data di nascita e altri dati associati ai profili. Non si trattava quindi soltanto di identificativi tecnici: nomi e indirizzi email costituiscono materiale sufficiente per costruire campagne di phishing personalizzate e credibili. Il rischio appariva accentuato dalla composizione presumibile della base utenti, descritta dal ricercatore come formata in larga parte da persone anziane e potenzialmente meno preparate a riconoscere tentativi di frode digitale.
L’estrazione dei dati poteva inoltre essere automatizzata con particolare facilità. Gli identificativi assegnati ai nuovi account erano sequenziali, mentre l’interfaccia non applicava alcun meccanismo di rate limiting. Un attaccante avrebbe quindi potuto inviare una richiesta GET per ciascun numero progressivo, scorrendo sistematicamente il database e costruendo un elenco completo degli utenti senza incontrare limiti alla frequenza delle interrogazioni.
Un secondo problema riguardava il validation_hash utilizzato nel processo di verifica della registrazione. Questo valore risultava memorizzato ed esposto in chiaro attraverso l’API, riducendo ulteriormente le protezioni previste per la conferma degli account. Anche l’email legittima inviata dal servizio presentava caratteristiche considerate problematiche sul piano della sicurezza, perché il suo aspetto poteva ricordare quello di un messaggio di phishing. Una debolezza comunicativa capace di confondere gli utenti proprio nel momento in cui dovrebbero distinguere una comunicazione autentica da una fraudolenta.
La dimensione del bacino esposto amplificava le conseguenze potenziali. Nel luglio 2026 l’app contava quasi 720.000 account: anche ipotizzando che appena l’1% degli utenti rispondesse a messaggi inviati da criminali dopo la raccolta degli indirizzi, la platea coinvolta supererebbe le 7.000 persone. Non serve quindi una base utenti paragonabile a quella delle maggiori piattaforme digitali per trasformare una configurazione API insicura in un’opportunità concreta per truffatori e operatori del phishing.
Alla vulnerabilità tecnica si è aggiunto un problema nella gestione della segnalazione. BobDaHacker ha dichiarato di avere contattato nove persone subito dopo la scoperta, senza ricevere risposte né osservare modifiche per circa sei mesi. Il ricercatore si è quindi rivolto a Nate Nelson, giornalista specializzato in sicurezza di Dark Reading, che a sua volta non avrebbe ottenuto riscontri dai responsabili dell’app prima della pubblicazione del caso.
Le falle sono state corrette soltanto dopo che la vicenda è diventata pubblica, senza che al ricercatore venisse attribuito un riconoscimento per la segnalazione. Il caso mostra una combinazione particolarmente rischiosa: API non protette, identificativi prevedibili, assenza di limiti alle richieste e un processo di disclosure rimasto senza risposta per mesi. La correzione chiude l’accesso descritto, ma resta indeterminato se soggetti diversi dal ricercatore abbiano individuato o sfruttato le stesse debolezze durante il periodo di esposizione.