A aplicação oficial do Vaticano para dispositivos móveis, conhecida como Click To Pray, deixou exposta a informação pessoal de mais de 700.000 fiéis devido a um erro elementar na sua estrutura. Segundo revelou a especialista de cibersegurança no blogue BobDaHacker, a vulnerabilidade afetou exatamente 719.517 contas registadas na plataforma gerida pela Rede Mundial de Oração do Papa.
O problema de segurança foi inicialmente descoberto e comunicado a 3 de janeiro de 2026, mas os responsáveis mantiveram o sistema inalterado durante mais de seis meses. A correção apenas avançou no dia 24 de julho, depois de o caso chegar à imprensa especializada, forçando a equipa de desenvolvimento a agir de imediato para estancar a fuga.
Falha grave nos controlos de acesso
A raiz desta exposição residia num ponto de acesso da API utilizado para recuperar o perfil dos utilizadores. A plataforma atribuía um identificador numérico sequencial a cada nova inscrição. Como o servidor não verificava se o pedido era feito pelo verdadeiro titular da conta, bastava alterar esse número no endereço web para aceder às informações de qualquer outra pessoa registada.
Este tipo de falha técnica, classificada no meio informático como Insecure Direct Object Reference (IDOR), é uma das fragilidades mais primárias no desenvolvimento de software. Através de um simples script automático, um atacante conseguiria recolher o nome, data de nascimento, país e endereço de email de toda a base de inscritos. Para agravar a situação, o próprio sistema de registo da Click To Pray devolvia o código de validação da conta de forma visível, o que permitia aprovar novos perfis sem acesso real à caixa de correio eletrónico associada.
Silêncio institucional e riscos de burla
Embora a falha não tenha comprometido senhas ou informações bancárias, o volume de detalhes pessoais libertados apresenta um risco elevado de fraude direcionada. O cruzamento de nomes reais com datas de nascimento e países de origem cria o cenário ideal para campanhas de phishing altamente personalizadas. Considerando que grande parte do público-alvo da aplicação é composto por pessoas de idade mais avançada e com menor literacia digital, um pedido fraudulento de donativo em nome do Vaticano teria fortes probabilidades de enganar as vítimas.
A investigadora responsável pela descoberta tentou alertar nove contactos distintos ao longo de meses, incluindo a própria agência de design La Machi, encarregue de desenvolver a aplicação. Face à total ausência de respostas, os dados da investigação foram partilhados com a publicação Dark Reading, o que acabou por gerar a pressão necessária para a resolução do problema.
Neste momento, a consulta de identificadores de terceiros na plataforma apenas devolve informação considerada pública, como o nome, protegendo os elementos mais sensíveis. Contudo, a organização eclesiástica não emitiu qualquer justificação pública nem agradeceu o trabalho de deteção da falha à especialista que evitou um desastre de privacidade de maiores dimensões.
Nenhum comentário
Seja o primeiro!