Falha em aplicativo do Vaticano expõe dados de 700 mil fiéis
Vulnerabilidade no aplicativo Click to Pray deixou expostos nomes e e-mails de usuários por seis meses devido a uma falha de controle de acesso.
Pontos principais
- A falha do tipo IDOR permitia acesso a dados via alteração de IDs em uma API não autenticada.
- Informações como nomes, e-mails e países de origem de 700 mil pessoas foram expostas.
- O pesquisador BobDaHacker reportou o problema em janeiro de 2026, mas não obteve retorno.
- O Vaticano corrigiu a brecha apenas após a divulgação pública do caso pelo site Dark Reading.
- Especialistas alertam que os dados podem ser utilizados para campanhas de phishing.
Uma vulnerabilidade de segurança no aplicativo Click to Pray, mantido pelo Vaticano, expôs dados pessoais de mais de 700 mil fiéis durante seis meses. A falha, classificada como IDOR (Insecure Direct Object Reference), permitia que terceiros acessassem informações sensíveis, como nomes, e-mails e países de origem, simplesmente alterando IDs sequenciais em uma API que não possuía autenticação adequada. O problema foi identificado pelo pesquisador de segurança conhecido como BobDaHacker em janeiro de 2026, mas a instituição ignorou os alertas por meses, realizando a correção apenas após a exposição pública do caso pelo portal Dark Reading. O incidente levanta preocupações sobre a maturidade de cibersegurança em organizações religiosas e do terceiro setor, uma vez que os dados vazados podem ser explorados por criminosos em campanhas direcionadas de phishing contra os usuários afetados.
Comentários
Carregando comentários...