La piattaforma ufficiale del Vaticano Click To Pray ha risolto una vulnerabilità di sicurezza che ha esposto informazioni personali appartenenti a oltre 719.000 utenti registrati, dopo che la questione sarebbe rimasta irrisolta per più di sei mesi. Il difetto è stato scoperto da un independent security researcher , che ha detto che i ripetuti tentativi di divulgazione non hanno ricevuto risposta prima che la vulnerabilità venisse infine corretta.
Click To Pray è disponibile tramite il suo sito web e le applicazioni mobili per Android e iOS. Il servizio offre preghiere guidate quotidiane e permette agli utenti di tutto il mondo di partecipare a iniziative di preghiera promosse dalla Rete Mondiale di Preghiera del Papa.
La ricercatrice di sicurezza BobDaHacker ha dichiarato di aver identificato per la prima volta la vulnerabilità il 3 gennaio 2026. Secondo la sua dichiarazione, ha notificato molteplici contatti associati a Click To Pray e alla Pope’s Worldwide Prayer Network, inclusi indirizzi di supporto generale e singoli membri dello staff, ma non ha ricevuto conferma né risposta.
Al momento dei test a luglio, la piattaforma contava 719.517 account utente registrati. Il ricercatore ha detto che il problema è rimasto irrisolto per tutto quel periodo.
La vulnerabilità era un Insecure Direct Object Reference (IDOR), un tipo di difetto di controllo accessi che si verifica quando un’applicazione espone identificatori interni di oggetti senza verificare adeguatamente se un utente sia autorizzato ad accedere alle informazioni richieste.
Secondo la dichiarazione, a ogni account è stato assegnato un identificatore numerico sequenziale. Sostituendo il proprio ID account con un altro numero valido in una richiesta di interfaccia di programmazione applicativa (API), un utente autenticato poteva recuperare le informazioni dell’account di un’altra persona perché il sistema non aveva verificato la proprietà prima di restituire i dati.
Le informazioni esposte includevano presumibilmente indirizzi email degli utenti, nomi e cognomi, paesi, date di nascita, ruoli degli account e indicatori che mostravano se un account fosse stato cancellato. Il ricercatore ha affermato che il sistema di numerazione prevedibile, unito all’assenza di limiti di tasso, significava che un attaccante avrebbe potuto interrogare sistematicamente ogni account registrato.
Sebbene non ci siano prove che la vulnerabilità sia stata sfruttata in modo malevolo, il ricercatore ha avvertito che indirizzi email e dati personali esposti potrebbero essere stati usati per creare attacchi convincenti di phishing o social engineering contro i membri della piattaforma.
Durante la valutazione, BobDaHacker ha anche individuato una debolezza nel processo di verifica via email dell’applicazione. Secondo la divulgazione, l’API restituiva lo stesso token di verifica che il sistema inviava successivamente via email, permettendo agli utenti di attivare gli account senza accedere effettivamente alla cassetta registrata.
Il ricercatore ha inoltre segnalato problemi nella configurazione dell’autenticazione email della piattaforma. Ha affermato che le protezioni SPF, DKIM e DMARC sembrano essere configurate in modo errato, rendendo difficile distinguere i messaggi legittimi dalle email fraudolente. Questi standard sono progettati per aiutare i server di posta riceventi a verificare che le email provengano da mittenti autorizzati e non siano state alterate durante la consegna.
La Rete di Preghiera Mondiale del Papa non ha risposto ai tentativi di divulgazione del ricercatore o alle successive richieste di commento prima che la questione diventasse pubblica, secondo la cronologia pubblicata.
La situazione cambiò dopo che Dark Reading riportò la vulnerabilità. BobDaHacker ha successivamente confermato che l’applicazione era stata aggiornata e che la falla nel controllo degli accessi era stata corretta.
Dopo la correzione, le richieste per il profilo di un altro utente restituiscono solo informazioni destinate a essere visibili pubblicamente, come nomi e cognomi. I dettagli sensibili degli account, inclusi indirizzi email, date di nascita e informazioni sui paesi, non sono più esposti tramite l’endpoint API interessato.
Sebbene abbia detto di non aver mai ricevuto un riconoscimento diretto dall’organizzazione, la ricercatrice ha accolto con favore la bonifica. Ha affermato che l’obiettivo principale della divulgazione responsabile era stato garantire che la vulnerabilità fosse corretta, aggiungendo che la questione era stata infine risolta correttamente.