Vaticano hackerato: Click To Pray ha esposto i dati di oltre 700.000 utenti

🛡️ Executive Summary

• Un endpoint API privo di controlli di autorizzazione permetteva di consultare i profili modificando un identificativo numerico progressivo.
• Oltre 719.000 account potevano esporre email, nomi, Paese, data di nascita, ruolo e stato di cancellazione.
• La falla è stata corretta dopo la pubblicazione della ricerca, ma l’esposizione prolungata aumenta i rischi di phishing e impersonificazione.

Click To Pray, piattaforma ufficiale della Rete Mondiale di Preghiera del Papa, ha esposto per mesi i dati personali di oltre 700.000 utenti attraverso un’API priva di adeguati controlli di autorizzazione. La vulnerabilità permetteva di modificare un identificativo numerico progressivo e consultare informazioni appartenenti ad altri account senza autenticazione. Il problema era stato segnalato il 3 gennaio 2026, ma sarebbe rimasto accessibile fino alla pubblicazione della ricerca nel mese di luglio. La piattaforma ha successivamente limitato i dati restituiti dall’endpoint, senza comunicare pubblicamente i dettagli dell’intervento o chiarire se soggetti non autorizzati avessero già raccolto le informazioni.

Un endpoint permetteva di enumerare tutti gli utenti

La vulnerabilità interessava un endpoint dell’API di Click To Pray costruito intorno a un identificativo numerico associato a ciascun account. Inserendo nell’indirizzo un ID valido, il server restituiva il profilo corrispondente senza verificare che la persona richiedente fosse autenticata o autorizzata a consultarlo. Modificando progressivamente il numero, un soggetto esterno poteva passare da un utente all’altro e automatizzare la raccolta delle informazioni. Il difetto rientra nella categoria Insecure Direct Object Reference, comunemente indicata come IDOR, una forma di broken access control nella quale l’applicazione espone direttamente il riferimento a una risorsa senza effettuare una verifica dei permessi. Il problema non richiedeva malware, credenziali rubate o tecniche particolarmente avanzate: bastava inviare normali richieste HTTP verso l’endpoint interessato.

La semplicità dell’operazione rendeva teoricamente possibile enumerare l’intera base utenti, che al momento della verifica comprendeva 719.517 account distribuiti tra applicazioni Android, iOS e versione web. La vicenda conferma quanto illustrato nella guida ai data leak e al valore delle informazioni esposte: una configurazione applicativa errata può produrre conseguenze paragonabili a un’intrusione, anche quando nessun attaccante deve violare direttamente il server.

Email e date di nascita restavano accessibili

Le risposte dell’API potevano contenere nome, cognome, indirizzo email, Paese, data di nascita, ruolo dell’account e stato di cancellazione. Alcuni degli identificativi numericamente più bassi risultavano inoltre collegati a membri dello staff della Rete Mondiale di Preghiera del Papa, rendendo possibile distinguere account ordinari e profili interni.

Non risultano prove pubbliche che un attore criminale abbia raccolto sistematicamente l’intero database, ma l’assenza di autenticazione e di adeguati limiti alle richieste rendeva tecnicamente possibile l’estrazione automatizzata. La distinzione tra esposizione e furto confermato resta essenziale: la vulnerabilità dimostra che i dati erano accessibili, ma non permette da sola di stabilire chi li abbia consultati prima della correzione. La quantità delle informazioni disponibili aumentava comunque il rischio di phishing mirato, furto di identità e social engineering. Un messaggio costruito con il nome reale, il Paese e il riferimento a un’app ufficialmente collegata al Papa può apparire molto più credibile di una comunicazione fraudolenta generica. Il rischio cresce all’interno di una comunità nella quale una parte degli utenti potrebbe attribuire particolare fiducia a messaggi che richiamano il Vaticano, iniziative religiose, richieste di donazione o intenzioni di preghiera.

Il problema era stato segnalato a gennaio

La ricercatrice conosciuta come BobDaHacker ha dichiarato di avere individuato la vulnerabilità all’inizio di gennaio e di averla segnalata il 3 gennaio 2026 a nove indirizzi collegati a Click To Pray e alla Rete Mondiale di Preghiera del Papa. Secondo la ricostruzione pubblicata, non sarebbe arrivata alcuna risposta, conferma di ricezione o comunicazione sull’avvio delle verifiche. La falla risultava ancora attiva quando il caso è stato sottoposto alla stampa nel mese di luglio, oltre sei mesi dopo la prima segnalazione. Il ritardo evidenzia un problema distinto dalla vulnerabilità tecnica: l’assenza di un processo chiaramente identificabile per la coordinated vulnerability disclosure.

Una casella monitorata, un file security.txt o un programma pubblico per la gestione delle segnalazioni avrebbero potuto ridurre sensibilmente il tempo di esposizione. La sicurezza applicativa non può dipendere esclusivamente dalla disponibilità occasionale di un contatto interno, perché le organizzazioni che raccolgono dati personali devono predisporre procedure per ricevere, classificare e verificare le segnalazioni anche quando non dispongono di un programma bug bounty. I principi di responsabilizzazione descritti nella guida al GDPR e alla protezione dei dati richiedono misure tecniche adeguate, ma anche processi organizzativi capaci di intervenire tempestivamente quando emerge una debolezza.

Anche la verifica email presentava una debolezza

L’analisi ha evidenziato un secondo problema nel processo di registrazione. La risposta dell’endpoint utilizzato per creare un account restituiva direttamente il validation hash destinato alla verifica dell’indirizzo email, lo stesso valore inserito nel collegamento inviato alla casella dichiarata durante l’iscrizione. Un utente poteva quindi registrare un account con un indirizzo email non controllato e completare la verifica utilizzando il token ricevuto direttamente dall’API, senza accedere alla casella di posta. La procedura indeboliva la funzione principale della conferma email, che dovrebbe dimostrare il controllo effettivo dell’indirizzo indicato. La ricercatrice ha inoltre segnalato problemi nell’autenticazione dei messaggi inviati dalla piattaforma, con avvisi generati dal client di posta in relazione ai controlli del dominio. Configurazioni incomplete o errate di SPF, DKIM e DMARC non dimostrano automaticamente che il dominio possa essere impersonato con successo in ogni situazione, ma riducono l’affidabilità delle comunicazioni e complicano la distinzione tra email autentiche e tentativi di phishing. La combinazione tra indirizzi esposti e autenticazione email debole costituisce un rischio concreto, perché gli utenti potrebbero ricevere comunicazioni fraudolente costruite per imitare la piattaforma, sfruttando informazioni reali e un contesto già conosciuto. È la stessa dinamica osservata quando i dati sottratti in precedenti violazioni vengono riutilizzati per costruire campagne di sextortion e truffe personalizzate.

La correzione arriva dopo la pubblicazione

La situazione è cambiata dopo la pubblicazione del caso. La ricercatrice ha aggiornato la propria analisi il 24 luglio 2026, riferendo che l’endpoint aveva smesso di restituire email, date di nascita, Paese e altri dettagli sensibili. Alcune verifiche successive indicano che la risorsa continuava a rispondere senza autenticazione, ma con un insieme molto più limitato di informazioni, come identificativo, nome e cognome. Il titolo della prima copertura descriveva quindi una vulnerabilità ancora attiva al momento dell’indagine, mentre gli aggiornamenti successivi mostrano che la principale esposizione dei dati è stata corretta. Non risultano però una comunicazione pubblica della Rete Mondiale di Preghiera del Papa, una spiegazione della causa tecnica o indicazioni sull’eventuale analisi dei log per stabilire se l’API fosse stata interrogata in modo massivo. L’assenza di queste informazioni impedisce di valutare il numero reale di persone i cui dati potrebbero essere stati raccolti e non permette di capire se la piattaforma abbia avviato una procedura formale di notifica alle autorità o agli utenti interessati.

Gli utenti devono attendersi tentativi di phishing

Chi possiede o ha posseduto un account Click To Pray dovrebbe considerare possibile l’esposizione del proprio indirizzo email e prestare attenzione a messaggi che utilizzano il nome del Papa, del Vaticano o della Rete Mondiale di Preghiera. La presenza di informazioni corrette non dimostra che la comunicazione sia autentica, perché i dati potrebbero provenire dall’API vulnerabile o da altre fonti pubbliche. Richieste urgenti di denaro, donazioni, credenziali, codici di autenticazione o apertura di allegati devono essere verificate attraverso canali ufficiali raggiunti autonomamente. Cambiare la password dell’account resta opportuno quando la stessa credenziale è stata riutilizzata altrove, anche se le password non risultano comprese tra i dati esposti dall’endpoint. Per la piattaforma, la correzione del singolo percorso API rappresenta soltanto il primo intervento: servono una verifica completa degli endpoint, controlli di autorizzazione a livello di oggetto, rate limiting, revisione della procedura di conferma email e un canale pubblico per le segnalazioni di sicurezza. La ricerca originale sulla vulnerabilità IDOR di Click To Pray documenta l’endpoint interessato, le categorie di dati visibili, la cronologia delle segnalazioni e l’intervento avvenuto dopo la pubblicazione. Il problema non derivava da una tecnica sofisticata, ma dall’assenza del controllo più elementare: verificare che chi chiede un dato abbia davvero il diritto di riceverlo.