Hoy toca rezar un Padre Nuestro por todos aquellos usuarios que tuvieran instalada la aplicación oficial de oración del Vaticano, conocida como Click To Pray. Lo más curioso de todo, es que esta App, que se encuentra vinculada a la Red Mundial de Oración del Papa, expuso durante meses los datos personales de sus más de 700.000 usuarios debido a un fallo elemental en su interfaz de programación. La aplicación, disponible en Android, iOS y en cualquier dispositivo vía web, permite seguir las intenciones mensuales del Papa, acceder a oraciones diarias y compartir peticiones con otros miembros de la comunidad. Esta aplicación cuenta actualmente con 719.517 cuentas registradas.
La vulnerabilidad fue descubierta y comunicada el 3 de enero de 2026 por la hacker ética «BobDaHacker», pero permaneció activa durante más de seis meses sin que ninguno de los responsables contactados respondiera. Esta experta de seguridad anunció que la vulnerabilidad fue únicamente corregida el pasado 24 de julio después de que el caso llegara a los medios especializados. Que fue lo que forzó al equipo de desarrolladores de la aplicación de parchear la vulnerabilidad.
App del Vaticano: API sin protección permitía consultar cualquier la información de cualquier cuenta
El origen del problema estaba en un endpoint de la API de Click To Pray utilizado para recuperar la información de los usuarios. Cada cuenta recibía un identificador numérico consecutivo y bastaba con cambiar ese número en la dirección de la petición para consultar el perfil de otra persona. El servidor no comprobaba si quien realizaba la solicitud era el propietario de la cuenta ni si tenía autorización para acceder a ella.
Este tipo de vulnerabilidad se conoce como IDOR, y constituye una de las formas más comunes de fallo en los controles de acceso. Al introducir un identificador válido, la API devolvía información personal como nombre y apellidos del usuario, la dirección de email, país, fecha de nacimiento, función dentro de la plataforma y hasta si la cuenta estaba activa, eliminada o disponía de privilegios administrativos. La gravedad aumentaba porque los identificadores eran secuenciales y aparentemente no existía un límite de peticiones. Un atacante podría automatizar el proceso con un simple script hasta crear una base de datos completa con los datos de más de 700.000 usuarios registrados en al App del Vaticano.
La investigadora también detectó que el endpoint de registro devolvía directamente el validation_hash utilizado para verificar las nuevas cuentas. Como ese mismo token aparecía posteriormente en el enlace enviado por correo, era posible registrar y validar una dirección sin tener acceso real a su bandeja de entrada, anulando en la práctica la comprobación de identidad proporcionada por el correo electrónico.
Jesús tiene un mensaje personalizado para ti: paga 4,99 euros para leerlo
Si bien la filtración no incluía contraseñas ni datos bancarios, pero la combinación de nombres, correos electrónicos, países y fechas de nacimiento ofrecía material suficiente para lanzar campañas de phishing altamente personalizadas. Un atacante malicioso podía hacerse pasar por la Red Mundial de Oración del Papa, y solicitar una supuesta donación al usuario atacado. El riesgo es relevante cuando hablamos de personas mayores o con pocos conocimientos tecnológicos que podían confiar más fácilmente en mensajes relacionados con la App del Vaticano. Y más si sabían toda la información de su cuenta.
BobDaHacker comunicó el fallo el 3 de enero a nueve contactos diferentes, incluidos responsables de Click To Pray y de la Red Mundial de Oración del Papa. Tras seis meses sin recibir respuesta, trasladó la información a Dark Reading, que verificó independientemente la vulnerabilidad y trató de contactar tanto con la organización como con La Machi, la agencia que se encargó de diseñar y desarrollar la aplicación. Evidentemente, nadie respondió a estos emails.
Pocas horas después de hacerse pública la investigación, el endpoint fue modificado. Desde entonces, al consultar el identificador de otra persona solo se muestran los datos concebidos como públicos, como su nombre y apellido, mientras que el correo electrónico, el país y la fecha de nacimiento únicamente se entregan al propietario identificado de la cuenta. La investigadora asegura que nunca recibió una confirmación, explicación o al menos el agradecimiento por parte de los responsables.
