Una API sin controles de autorización expuso los datos de 720.000 usuarios de la app de oración del Vaticano

Click To Pray, la aplicación oficial de la Red Mundial de Oración del Papa, mantuvo activa durante más de seis meses una vulnerabilidad IDOR que permitía consultar los datos personales de cualquier cuenta cambiando un simple número en la URL.

La aplicación oficial de oración vinculada al Vaticano, Click To Pray, ha estado exponiendo desde enero de 2026 los datos personales de sus usuarios debido a un fallo de autorización en una de sus APIs. Según la investigación publicada por Cybernews, el problema afectó a las 719.517 cuentas registradas en la plataforma en el momento de las pruebas.

Un IDOR de manual

La vulnerabilidad la descubrió la investigadora de seguridad conocida como BobDaHacker, quien la reportó de forma responsable el 3 de enero de 2026, contactando a nueve responsables distintos de Click To Pray y de la Red Mundial de Oración del Papa. Ninguno respondió. El fallo siguió activo durante más de seis meses, hasta que el caso se hizo público.

Técnicamente, el problema es un caso de libro de Insecure Direct Object Reference (IDOR): cada usuario recibe al registrarse un identificador numérico secuencial, y el endpoint de la API devolvía los datos de cualquier cuenta con solo indicar ese número, sin comprobar en ningún momento si quien hacía la petición tenía permiso para acceder a esa información. Bastaba con sustituir un ID por el siguiente para acceder a otro perfil, lo que además abría la puerta a automatizar la extracción masiva de datos mediante scraping secuencial.

La app, disponible en iOS, Android y vía web en siete idiomas, no imponía tampoco límites de tasa (rate limiting) suficientes para frenar ese tipo de consultas masivas.

Qué datos quedaron expuestos

La información accesible incluía nombres, correos electrónicos, país, fecha de nacimiento, rol de la cuenta y estado del perfil (incluyendo si había sido marcado para borrado). No se filtraron contraseñas ni datos bancarios, pero la combinación de identidad, email y contexto religioso/institucional es material de sobra para campañas de phishing altamente dirigido: un atacante podría hacerse pasar por la propia Red Mundial de Oración del Papa y solicitar donaciones o "verificaciones de cuenta" a usuarios que, al ver sus propios datos reales en el mensaje, tendrían menos motivos para sospechar. El riesgo es mayor entre perfiles de mayor edad o menos familiarizados con este tipo de fraudes, un perfil de usuario habitual en este tipo de aplicaciones.

La investigación también señaló configuraciones deficientes de SPF, DKIM y DMARC en el dominio, lo que facilita adicionalmente la suplantación del remitente en campañas de correo fraudulento.

Un detalle curioso recogido por Dark Reading: parte de los usuarios quedó protegida de facto porque se habían registrado con nombres abreviados o alias, o porque usaron la función "Ocultar mi correo" de Apple al darse de alta, lo que sustituye el email real por una dirección de reenvío generada aleatoriamente.

Contexto: el fallo más común, en la institución menos preparada para gestionarlo

Click To Pray fue desarrollada por La Machi Communication for Good Causes para la Red Mundial de Oración del Papa, no por una gran tecnológica con equipo de seguridad dedicado. Pero el volumen de datos personales que maneja —más de 700.000 registros— la sitúa bajo las mismas exigencias de protección que cualquier otro responsable de tratamiento, exigencias que el propio Vaticano formalizó en abril de 2024 con su propia normativa de protección de datos personales, que contempla medidas de seguridad, análisis de riesgo y procedimientos de notificación de incidentes.

El control de acceso roto (Broken Access Control), la categoría a la que pertenecen los IDOR, es la vulnerabilidad número uno del OWASP Top 10 desde 2021, y sigue apareciendo de forma recurrente en aplicaciones de todo tipo de sector y tamaño, precisamente porque no depende de técnicas sofisticadas sino de una comprobación de permisos que simplemente no se implementó en el backend.

El episodio no es, además, el primer tropiezo de seguridad de la app: en 2019, investigadores de Fidus Information Security ya habían detectado que las cuentas de una versión anterior (entonces conocida como Click To Pray eRosary) estaban protegidas únicamente por un PIN de cuatro dígitos sin límite de intentos, trivialmente vulnerable a fuerza bruta.

El caso actual llega, con cierta ironía, dos años después de que el Estado de la Ciudad del Vaticano y la Agencia Nacional de Ciberseguridad de Italia firmaran, en julio de 2024, un acuerdo de colaboración para reforzar la prevención y respuesta frente al cibercrimen.