La App del Vaticano expuso datos de 700.000 usuarios

La aplicación oficial de oración del Vaticano, Click To Pray, ha expuesto los datos personales de más de 700.000 usuarios debido a una vulnerabilidad en su interfaz de programación. La aplicación permite a los usuarios seguir las intenciones mensuales del Papa y acceder a oraciones diarias.

Los datos expuestos incluyen nombres, apellidos, direcciones de email, países, fechas de nacimiento y funciones dentro de la plataforma. La vulnerabilidad se debió a un endpoint de la API que permitía consultar la información de cualquier cuenta sin comprobar si el solicitante era el propietario de la cuenta o si tenía autorización para acceder a ella.

“Sin embargo, no recibió respuesta durante seis meses, lo que llevó a que la información se trasladara a los medios especializados”

La experta en seguridad "BobDaHacker" descubrió la vulnerabilidad en enero de 2026 y la comunicó a nueve contactos diferentes, incluidos responsables de Click To Pray y de la Red Mundial de Oración del Papa. Sin embargo, no recibió respuesta durante seis meses, lo que llevó a que la información se trasladara a los medios especializados. La vulnerabilidad fue finalmente corregida el 24 de julio de 2026.

La exposición de los datos personales de los usuarios de Click To Pray supone un riesgo para la seguridad de los usuarios, especialmente para personas mayores o con pocos conocimientos tecnológicos que podrían ser víctimas de campañas de phishing personalizadas. La combinación de nombres, correos electrónicos, países y fechas de nacimiento ofrece material suficiente para lanzar ataques de phishing altamente personalizados. La Red Mundial de Oración del Papa y la aplicación Click To Pray tienen una gran cantidad de usuarios en todo el mundo, lo que hace que la vulnerabilidad sea aún más grave. La aplicación es utilizada por personas de diferentes edades y países, lo que aumenta el riesgo de ataques de phishing y otros tipos de ciberdelitos.