Aplicación de oraciones permitió a estafadores acceder a cartas dirigidas al Vaticano

Hasta la aplicación para oraciones resultó incapaz de guardar los secretos ajenos. Click To Pray, la aplicación oficial de la Red Mundial de Oración del Papa, reveló nombres, direcciones de correo electrónico y otros datos de cientos de miles de usuarios debido a un error simple en el sistema de acceso.

El problema fue descubierto por una especialista en seguridad bajo el seudónimo BobDaHacker. Según ella, informó de la vulnerabilidad a los propietarios del servicio el 3 de enero, pero no recibió respuesta durante seis meses.

Click To Pray funciona en iOS, Android y a través del sitio web, soporta siete idiomas y ayuda a los usuarios a unirse para rezar por las intenciones del Papa. Para julio de 2026, 719 517 personas se habían registrado en el servicio.

La vulnerabilidad correspondía al tipo de enlace directo inseguro a un objeto. El servidor aceptaba el número de cuenta y devolvía los datos asociados, pero no verificaba si la persona que hacía la petición tenía derecho a ver los datos ajenos.

Tras el registro, Click To Pray asignaba a cada usuario un identificador numérico secuencial. Bastaba con sustituir en la petición otro número de cinco dígitos para obtener la información de la cuenta correspondiente.

El servicio revelaba la dirección de correo electrónico, el nombre, el apellido, el país, la fecha de nacimiento y el indicador de eliminación del perfil. El número de peticiones no estaba limitado, por lo que un atacante podía recorrer secuencialmente todos los identificadores y recopilar los datos de los 719 517 usuarios.

BobDaHacker la calificó como especialmente atractiva para quienes crean correos falsos. Entre los usuarios de la aplicación hay muchas personas mayores que pueden confiar en mensajes presentados en nombre del Vaticano o del Papa. A los estafadores les bastaría enviar un correo pidiendo que el destinatario haga clic urgentemente en un enlace y utilizar el nombre y la dirección ya conocidos del receptor.

La especialista también encontró un problema en el mecanismo de registro. El servidor devolvía en la respuesta un código secreto de confirmación de la cuenta. El mismo código se usaba en el enlace del correo, por lo que una persona ajena podía registrarse con la dirección de otro y confirmar el perfil antes que el propietario del correo.

El propio correo de Click To Pray generaba un riesgo adicional. El cliente de correo de BobDaHacker advirtió que el mensaje real de confirmación no pasó la verificación de autenticidad del dominio y pudo haber sido falsificado. Como resultado, un correo fraudulento podría parecer tan convincente como el oficial.