L’app ufficiale del Papa per le preghiere avrebbe esposto i dati di 700.000 utenti per mesi a causa di una falla di sistema. Ecco cos’è finito in rete.
Click To Pray è l’app ufficiale di preghiera del Vaticano. Lanciata a livello globale nel gennaio 2019, è stata creata per connettere i fedeli cattolici di tutto il mondo e invitarli a pregare. Disponibile gratuitamente su Play Store per Android e App Store per iOS, oltre che tramite sito web, richiede la creazione di un account per poterci interagire.
È proprio quest’ultimo elemento che ha scaturito un grave episodio per la sicurezza degli iscritti. Come segnalato dal ricercatore BobDaHacker, infatti, negli ultimi sei mesi una grave falla di sistema avrebbe esposto i dati di oltre 700.000 utenti. Nella lista di informazioni rientrano nomi, indirizzi email, date di nascita e persino posizioni geografiche, consentendo così l’accesso non autorizzato agli account.
Cos’è successo all’app del Vaticano
L’app Click To Pray conta oltre 700.000 utenti connessi alla rete globale di preghiera, con account verificato e regolarmente iscritto. Dopo la segnalazione riguardante una grave falla di sicurezza arrivata a gennaio di quest’anno dal ricercatore BobDaHacker, sono passati sei mesi prima che gli sviluppatori siano riusciti ad intervenire silenziosamente. Senza mai dare una risposta reale all’hacker etico.
Questo bug permetteva a chiunque di accedere ai dati di qualsiasi utente, semplicemente modificando un numero nell’URL. E non solo, perché questa vulnerabilità dava modo anche agli aggressori di registrare e confermare account usando l’indirizzo email di altri e aumentando ulteriormente il rischio di phishing e furto di identità.
La base degli utenti, composta principalmente da persone anziane e cattolici praticanti, ha reso questa violazione particolarmente pericolosa. Come fatto notare da BobDaHacker, una persona anziana clicca su tutto quello che vede, soprattutto se all’interno di un’app del Vaticano. È proprio per questo che un qualsiasi malintenzionato avrebbe potuto rubare informazioni e orchestrare una truffa di phishing spacciandosi per l’app.
I rischi reali per gli utenti
Questa grave falla è stata corretta silenziosamente in questi giorni. Tuttavia, il Vaticano non ha mai riconosciuto e ringraziato il ricercatore che l’ha scoperta. E non ha nemmeno fornito avvisi agli utenti coinvolti dall’esposizione dei dati, magari con consigli su come proteggersi maggiormente.
Un episodio come questo solleva serie preoccupazioni sulla protezione dei dati nelle app religiose e istituzionali. Soprattutto perché c’è una mancanza evidente di conseguenze per le violazioni delle normative. L’app Click To Pray non è stata sanzionata e nemmeno redarguita, il bug è stato corretto come se si trattasse di un piccolo errore.
Se anche tu hai scaricato e utilizzato l’app negli ultimi mesi, il consiglio è di agire subito per proteggerti. In che modo? Cambiando le password al tuo indirizzo email e agli altri profili collegati, impostando l’autenticazione a due fattori e diffidando da eventuali comunicazioni ricevute via SMS o con una chiamata.
