Aplikacja Watykanu przechowywała dane 700 tysięcy użytkowników bez zabezpieczeń

Click to Pray, oficjalna aplikacja modlitewna Papieskiej Światowej Sieci Modlitwy, przez pół roku praktycznie nie miała żadnych zabezpieczeń danych użytkowników. Jak opisuje badacz bezpieczeństwa działający pod pseudonimem BobDaHacker, już w styczniu 2026 roku odkrył, że dostęp do imion, nazwisk, adresów e-mail i dat urodzin użytkowników wymagał jedynie wpisania odpowiedniego numeru ID w publicznym endpoincie API - bez żadnej autoryzacji.

Problem okazał się tym poważniejszy, że identyfikatory kont są nadawane sekwencyjnie, a system nie miał żadnego limitu zapytań. W praktyce oznaczało to, że jedno proste zapytanie GET na konto wystarczyło, by automatycznie pobrać dane całej bazy. Do tego w otwartym tekście przechowywany był tzw. validation_hash, czyli kod służący do weryfikacji konta - ktoś dysponujący dostępem do API mógł go użyć niemal jak klucza do cudzej skrzynki mailowej.

Sama wiadomość weryfikacyjna wysyłana przez aplikację dodatkowo wyglądała podejrzanie, przypominając bardziej próbę phishingu niż oficjalny komunikat. Skala problemu jest nieporównywalnie mniejsza niż w przypadku niedawnego wycieku obejmującego 16 miliardów kont, uznawanego za jeden z największych w historii, jednak nawet niewielki odsetek oszukanych osób z bazy liczącej blisko 720 tysięcy kont (stan na lipiec 2026) może przełożyć się na tysiące realnych ofiar.

Watykan naprawił lukę dopiero po sześciu miesiącach milczenia

Badacz zwraca uwagę, że użytkownicy aplikacji to w dużej mierze osoby starsze, mniej biegłe technologicznie, a więc statystycznie bardziej podatne na phishing i oszustwa finansowe - to właśnie czyni ten wyciek praktycznie niebezpiecznym, mimo religijnego, z pozoru niegroźnego charakteru aplikacji.

BobDaHacker poinformował dziewięć osób powiązanych z projektem o wykrytych lukach zaraz po ich odkryciu, jednak przez pół roku nie otrzymał żadnej odpowiedzi ani nie zauważył żadnych zmian w zabezpieczeniach. Dopiero po tym, jak sprawą zainteresował się dziennikarz Dark Reading, Nate Nelson - który również nie doczekał się reakcji ze strony twórców aplikacji - i opublikował artykuł na ten temat, luki zostały załatane. Sam badacz, który jako pierwszy zgłosił problem, nie doczekał się nawet podziękowania.

Sprawa pokazuje, że nawet aplikacje o niszowym, religijnym charakterze i pozornie niskiej wartości dla cyberprzestępców mogą stanowić realne zagrożenie, jeśli przechowują dane osobowe bez podstawowych zabezpieczeń. Dla użytkowników Click to Pray oznacza to, że warto zachować czujność wobec podejrzanych maili nawiązujących do aplikacji, oraz rozważyć zmianę hasła powiązanego adresu e-mail.