Una grave falla di sicurezza nell'applicazione ufficiale di preghiera della Rete Mondiale di Preghiera del Papa, Click to Pray, ha esposto per oltre sei mesi i dati personali di circa 720.000 utenti in tutto il mondo. Il ricercatore di sicurezza noto come BobDaHacker ha scoperto la vulnerabilità a gennaio 2026, ma solo dopo la pubblicazione di un articolo di Dark Reading a luglio gli sviluppatori hanno risolto il problema. Nel frattempo, nomi, cognomi, indirizzi email e date di nascita erano liberamente accessibili tramite l'API dell'app.
Zero autenticazione e API non protetta hanno permesso l'accesso ai dati
Secondo BobDaHacker, l'API dell'app non richiedeva alcuna autenticazione: bastava digitare un ID utente sequenziale per ottenere le informazioni personali di ogni iscritto. L'assenza di limitazione delle richieste (rate limiting) permetteva di scaricare l'intero database con semplici richieste GET. Inoltre, il validation_hash usato per verificare gli account era memorizzato in chiaro, consentendo a chiunque di attivare nuovi profili senza autorizzazione. I tentativi di contattare gli sviluppatori via email sono rimasti inascoltati per sei mesi, come confermato anche dal giornalista di sicurezza Nate Nelson di Dark Reading.
Sponsored Protocol
Utenti anziani particolarmente vulnerabili a phishing mirato
La maggior parte degli utenti di Click to Pray è composta da persone anziane, spesso poco esperte di tecnologia. I criminali informatici avrebbero potuto sfruttare i nomi e le email raccolte per inviare messaggi di phishing personalizzati, con un alto tasso di successo. Anche se solo l'un per cento dei 720.000 utenti fosse caduto in una truffa, si sarebbero contate oltre 7.000 vittime. La violazione, pur non coinvolgendo dati finanziari, rappresenta un grave rischio per la sicurezza digitale dei fedeli. Per approfondire le minacce alla sicurezza informatica per le piccole imprese, leggi l'articolo su OpenAI sviluppa un hacker autonomo — la sicurezza delle PMI italiane è a rischio.
Sponsored Protocol
Sei mesi di silenzio e un fix arrivato solo dopo la copertura mediatica
Nonostante BobDaHacker avesse inviato segnalazioni a nove indirizzi email legati all'app, nessuno ha risposto o corretto la falla. Solo quando Dark Reading ha pubblicato la notizia, a fine luglio, gli sviluppatori hanno finalmente risolto il problema. Il ricercatore non ha ricevuto alcun riconoscimento ufficiale. La vicenda evidenzia la vulnerabilità anche di organizzazioni considerate affidabili, come la Santa Sede. Il phishing è una delle minacce più comuni: su Wikipedia si spiega come funzionano queste truffe online.
Sponsored Protocol
In un contesto in cui la sicurezza informatica è sempre più cruciale, come dimostra il progetto pilota V2G del Massachusetts per stabilizzare la rete elettrica con batterie di auto elettriche discusso in questo articolo, episodi come questo ricordano che nessuna organizzazione è immune da errori di base nella protezione dei dati.
