PCGamer latest.
Um aplicativo oficial do Vaticano promovido pelo próprio Papa Francisco, o Click To Pray, expôs os dados pessoais de mais de 700 mil usuários por pelo menos sete meses antes que a falha de segurança fosse corrigida. A vulnerabilidade foi descoberta em janeiro de 2026 pelo hacker ético BobDaHacker, que alertou a equipe do Vaticano e da Click To Pray por e-mail em 3 de janeiro, mas não obteve resposta. Somente após tornar o caso público em um blog em 24 de julho, a falha foi finalmente reparada.
O problema era simples, mas grave: ao se cadastrar no Click To Pray, cada usuário recebia um número de identificação sequencial — o primeiro usuário recebia o ID 1, o segundo o ID 2, e assim por diante. Bastava acessar o endereço https://api.clicktopray.org/user/users/[ID] para obter nome, e-mail, país, data de nascimento, função e até se a conta havia sido deletada de qualquer usuário, sem qualquer verificação de autorização. Sem checagem de autorização. Sem validação de propriedade. Apenas incremente o número e obtenha os dados de outra pessoa. O Senhor provê, escreveu BobDaHacker em seu blog.
A falta de limite de requisições tornava possível que um invasor automatizado raspasse todos os dados dos 700 mil usuários em questão de segundos. O hacker destacou que o perfil dos usuários do app — mais velhos, menos familiarizados com tecnologia e profundamente confiantes em tudo associado ao Vaticano — transformava aquela base de dados em uma mina de ouro para phishing. Imagine receber um e-mail dizendo ‘O Santo Padre solicita sua atenção urgente’ com um link que parece do Vaticano. A vovó vai clicar toda vez, alertou.
Para piorar a situação, os próprios e-mails legítimos enviados pelo Click To Pray geravam um aviso de falha na autenticação do domínio, ou seja, os e-mails reais do Click To Pray já pareciam phishing, segundo BobDaHacker. A infraestrutura do aplicativo era baseada em Express, um framework Node.js, o que levou o hacker a ironizar: o Vaticano está rodando sua infraestrutura de oração no framework que você aprende na segunda semana de um bootcamp de Node.js.
Apesar dos alertas enviados em janeiro, o silêncio do Vaticano durou meses. Sete meses de silêncio, e então, sem uma palavra para mim, o GET /user/users/{id} parou silenciosamente de entregar os dados, relatou BobDaHacker. Após a correção, a verificação de autorização passou a funcionar: ao solicitar o próprio ID, o usuário recebe seu e-mail; ao solicitar o de outro, obtém apenas um perfil público. O jornalista Joshua Wolens, do site PC Gamer, testou o app e confirmou que o e-mail recebido não disparou alertas de segurança.
O Click To Pray foi lançado em 2019, quando o Papa Francisco, durante o Angelus na Praça São Pedro, convidou os fiéis a baixarem o aplicativo. Centenas de milhares aderiram nos anos seguintes. A revelação da falha levanta questões sobre a segurança de dados em iniciativas religiosas digitais e a responsabilidade de instituições como o Vaticano na proteção de informações sensíveis de seus seguidores.
Até o momento, o Vaticano não se pronunciou oficialmente sobre o caso. A correção foi implementada sem qualquer comunicação ao hacker que descobriu a vulnerabilidade. BobDaHacker afirmou que entrou em contato com nove endereços de e-mail ligados ao Vaticano e ao Click To Pray, mas nenhum respondeu. Apenas quando a informação chegou a um jornalista e foi publicada, a falha foi corrigida.
O episódio serve como alerta para a importância da segurança cibernética em organizações de grande porte e confiança pública, especialmente quando lidam com dados de milhões de pessoas. Usuários do Click To Pray são aconselhados a ficar atentos a e-mails suspeitos que possam usar o nome do Vaticano ou do Papa, e a verificar a autenticidade de qualquer comunicação antes de clicar em links ou fornecer informações pessoais.
Leia mais aqui em inglês: https://www.pcgamer.com/software/vatican-scrambles-to-patch-phishing-goldmine-app-promoted-by-the-pope-prayer-infrastructure-on-the-framework-you-learn-in-week-2-of-a-node-js-bootcamp/.
Fonte: PC Gamer.
PCGamer latest.
2026-07-27 15:47:00
Deixe um comentário