Falla nell'app "Click to Pray": esposti per oltre sei mesi i dati sensibili di oltre 700.000 fedeli
Una grave vulnerabilità di sicurezza avrebbe esposto per oltre sei mesi i dati personali di più di 700.000 utenti di "Click to Pray", l'app ufficiale della rete mondiale di preghiera del Vaticano. La falla, individuata dal ricercatore di sicurezza noto come "BobDaHacker", sarebbe rimasta irrisolta nonostante ripetute segnalazioni ai responsabili dell'applicazione, venendo corretta soltanto dopo la pubblicazione della vicenda da parte della stampa specializzata.
Secondo quanto riportato da Tom's Hardware, il ricercatore aveva scoperto già nel gennaio 2026 che l'applicazione presentava una vulnerabilità riconducibile a un Insecure Direct Object Reference (IDOR). In pratica, modificando semplicemente l'identificativo numerico associato agli utenti nelle richieste inviate all'API, era possibile accedere ai dati personali di altri iscritti senza alcuna forma di autenticazione.
Tra le informazioni accessibili figuravano nome, cognome, indirizzo e-mail, data di nascita e altri dati del profilo dei fedeli che utilizzano l'app. Inoltre, gli identificativi degli account risultavano assegnati in modo sequenziale e l'API non prevedeva alcun meccanismo di rate limiting, circostanza che avrebbe consentito di automatizzare la raccolta delle informazioni relative all'intero database degli utenti. Il ricercatore ha inoltre segnalato che il cosiddetto validation hash utilizzato per la verifica degli account risultava memorizzato in chiaro, esponendo ulteriormente il sistema a possibili abusi.
Stando alla ricostruzione pubblicata, l’esperto informatico avrebbe contattato ben nove referenti dell'applicazione per segnalare le vulnerabilità che mettevano a rischio la privacy degli utenti, senza però ricevere alcuna risposta.
Dopo oltre sei mesi di attesa, il caso è stato portato all'attenzione del giornalista Nate Nelson di Dark Reading, che avrebbe tentato a sua volta di ottenere un riscontro dai responsabili dell'app senza successo. Solo dopo la pubblicazione della notizia le vulnerabilità sarebbero state corrette.
La vicenda evidenzia come, pur non essendo stati esposti dati finanziari o password, la disponibilità di un archivio contenente centinaia di migliaia di indirizzi e-mail associati agli utenti di questa app riveste particolare sensibilità rivelando il loro credo religioso, e potrebbe inoltre rappresentare un'opportunità per campagne di phishing mirate. Secondo il ricercatore, una parte significativa degli utilizzatori dell'app potrebbe infatti appartenere a fasce di popolazione meno esperte sotto il profilo informatico e quindi maggiormente vulnerabili ai tentativi di truffa online.
Fonte: Tom’s Hardware
