){kind=link}
Uma falha de segurança cibernética no “Click to Pray”, o aplicativo e site oficial de orações do Vaticano, expôs dados pessoais de mais de 700 mil usuários. Revelada na última sexta-feira (24) pelo veículo especializado Dark Reading e pelo pesquisador de segurança conhecido como BobDaHacker, a brecha no sistema ocorreu devido a um endpoint de API não autenticado. O erro permitiu que qualquer pessoa com um navegador web comum recuperasse informações de contas registradas sem a necessidade de efetuar login ou digitar uma senha.
O “Click to Pray” pertence à Rede Mundial de Oração do Papa e teve o desenvolvimento assinado pela agência de comunicação La Machi. O serviço disponibiliza orações diárias e conteúdos do Pontífice para dispositivos Android, iOS e navegadores web, e acumula registros em quase todos os países do mundo.
smart_display
Nossos vídeos em destaque
O aplicativo foi lançado em 2019 pelo Pontífice antecessor do Papa Leão XIV, o Papa Francisco, e alcançou a marca de 719.517 contas ativas em julho de 2026.
Silêncio de seis meses e a correção do erro
O problema foi identificado originalmente em 3 de janeiro de 2026 pelo pesquisador BobDaHacker. Na ocasião, o especialista notificou a equipe do aplicativo e membros da fundação do Vaticano por e-mail, porém não obteve resposta ao longo de mais de seis meses. Sem retorno, o caso foi encaminhado para a imprensa especializada.
Somente após a publicação da reportagem no Dark Reading, a equipe técnica da plataforma corrigiu o endpoint afetado e implementou as travas de autorização necessárias para ocultar dados sensíveis, como e-mails e países de origem. Apenas o perfil público do usuário foi mantido.
A demora e o desfecho foram destacados por BobDaHacker ao relatar a linha do tempo do caso. “Reportei isso em 3 de janeiro de 2026. Hoje, é 24 de julho, seis meses depois. Sete meses de silêncio e, então, sem me dizer uma palavra, os dados simplesmente pararam de ser distribuídos. Eles escreveram a condição ‘se’, exatamente como prometido”, relatou o hacker.
Como funcionava a falha e os riscos de golpes
A vulnerabilidade foi classificada como Insecure Direct Object Reference (IDOR): uma falha simples de controle de acesso. Ao criar uma conta, o usuário recebia um ID numérico sequencial. Como o servidor não validava se quem fazia a requisição tinha permissão para ver os dados de terceiros, bastava alterar o número do ID no endereço da API para visualizar o e-mail, nome, país e o nível de permissão no sistema de qualquer cadastrado.
O pesquisador descreveu a lógica técnica da vulnerabilidade de forma direta: “Isso é um IDOR. Uma das falhas de controle de acesso mais básicas na segurança da web. Você solicita seus próprios dados, o servidor os fornece. Você solicita os dados de outra pessoa, o servidor também os fornece”, explicou.
A exposição em massa gerou alerta pelo perfil da base afetada, composta por muitos idosos ou pessoas com pouca familiaridade digital que confiam nas instituições do Vaticano. A posse desta lista facilitaria a criação de campanhas de phishing (fraudes eletrônicas), nas quais criminosos poderiam se passar pela Igreja para aplicar golpes ou solicitar doações fraudulentas.
Além da brecha na API, BobDaHacker identificou que o próprio servidor de e-mails do app não possuía configurações adequadas de autenticação de domínio. Esta omissão fazia com que as notificações legítimas do aplicativo chegassem às caixas de entrada acompanhadas de avisos de segurança. Isso tornava os e-mails visualmente idênticos a mensagens falsas disparadas por golpistas.
Falhas estruturais em instituições não tecnológicas
O incidente colocou em foco a maturidade de cibersegurança em organizações religiosas e do terceiro setor, que, muitas vezes, lidam com grandes volumes de dados sem a infraestrutura técnica adequada. A falha ocorreu a despeito de o Vaticano ter promulgado, em 30 de abril de 2024, o Decreto nº DCLVII, um regulamento próprio voltado para a proteção de dados pessoais.
BobDaHacker ressaltou que a obrigação de proteger informações independe da natureza da instituição. “Organizações que lidam com dados pessoais de centenas de milhares de usuários têm a responsabilidade de protegê-los, independentemente de serem uma empresa de tecnologia ou uma igreja. Se você coleta e-mails, nomes e datas de nascimento de 700.000 pessoas, você é um custodiante de dados, quer queira ou não”, finalizou.
Proteção para os usuários
Ainda que a brecha na API tenha sido encerrada pela equipe do Vaticano após a divulgação do caso, a recomendação do pesquisador para os cadastrados é de cautela contínua. Usuários que utilizaram e-mails reais no cadastro devem ter atenção redobrada a mensagens não solicitadas em nome do “Click to Pray” ou da Rede Mundial de Oração do Papa, e evitar o clique em links externos ou o fornecimento de senhas.
Falando sobre malwares e segurança digital, uma falha em extensão do Chrome também expôs conversas do WhatsApp. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.