Powiązana z Watykanem aplikacja modlitewna Click To Pray ujawniła dane osobowe ponad 700 000 użytkowników z powodu poważnej luki w zabezpieczeniach API.
Aplikację opracowano dla Światowej Sieci Modlitwy Papieża i promowano jako cyfrową wspólnotę modlitewną. Według Malwarebytes została uruchomiona przez papieża Franciszka w 2019 roku i umożliwiała użytkownikom udział w codziennych modlitwach oraz dzielenie się intencjami za pośrednictwem platformy.
Ujawnione dane obejmowały według doniesień adresy e-mail, imiona i nazwiska, kraje oraz daty urodzenia.
Co się wydarzyło
Niezależny badacz bezpieczeństwa BobDaHacker odkrył problem w styczniu 2026 roku. Błąd dotyczył punktu końcowego API używanego przez aplikację Click To Pray. Zamiast zwracać dane wyłącznie uwierzytelnionego użytkownika, API pozwalało każdemu żądać rekordów należących do innych użytkowników po zmianie identyfikatora użytkownika.
Identyfikatory użytkowników były sekwencyjne, co pogarszało skalę ekspozycji. Według ustaleń badacza przytoczonych przez Malwarebytes aplikacja miała 719 517 zarejestrowanych identyfikatorów, co oznacza, że potencjalnie dostępnych było ponad 700 000 rekordów użytkowników.
Ten rodzaj podatności jest znany jako Insecure Direct Object Reference, czyli IDOR.
Mówiąc prosto, serwer zbyt mocno ufał identyfikatorowi podanemu przez użytkownika i nie sprawdzał, czy osoba wysyłająca żądanie jest uprawniona do wyświetlenia danego rekordu.
Dlaczego błędy IDOR są niebezpieczne
Podatności IDOR są proste, ale często bardzo szkodliwe.
Atakujący nie potrzebuje złośliwego oprogramowania, phishingu ani zaawansowanej eksploatacji. Jeśli API udostępnia przewidywalne identyfikatory i nie weryfikuje prawidłowo uprawnień, atakujący może żądać rekord po rekordzie.
W tym przypadku połączenie kolejnych identyfikatorów użytkowników i braku kontroli autoryzacji sprawiło, że aplikacja mogła ujawniać dane użytkowników na dużą skalę. Tom’s Hardware poinformował, że nie było też ograniczania liczby żądań (rate limiting), co ułatwiało zautomatyzowane zbieranie danych.
To sprawia, że problem jest czymś więcej niż błędem prywatności dotyczącym pojedynczego użytkownika.
Staje się ryzykiem masowego ujawnienia danych.
Jakie dane zostały ujawnione
Ujawnione informacje obejmowały według doniesień:
- adres e-mail
- imię i nazwisko
- kraj
- datę urodzenia
Może to nie brzmieć tak poważnie jak hasła czy dane kart płatniczych, ale nadal jest to wartościowe dla atakujących.
Lista prawdziwych użytkowników aplikacji modlitewnej powiązanej z Watykanem może być bardzo przydatna w phishingu, oszustwach i socjotechnice. Atakujący mogliby tworzyć wiadomości wyglądające na pochodzące z usług religijnych, charytatywnych, powiązanych z Watykanem lub związanych z modlitwą.
Ten kontekst zaufania sprawia, że zbiór danych jest bardziej wrażliwy niż zwykła lista adresów e-mail.
Druga słabość weryfikacji
Ujawnienie danych przez API nie było jedynym problemem.
Malwarebytes poinformował także, że aplikacja zwracała hash weryfikacyjny używany podczas weryfikacji adresu e-mail. Mogło to pozwolić atakującemu zarejestrować konto z adresem e-mail, nad którym nie miał kontroli, i zweryfikować je, sprawdzając odpowiedź API, zamiast otwierać prawdziwą skrzynkę pocztową.
To kolejny przykład wycieku wrażliwej logiki zaplecza przez odpowiedzi kierowane do klienta.
Tokeny weryfikacyjne nigdy nie powinny być ujawniane użytkownikom ani atakującym w danych wyjściowych API.
Problemy ze zgłaszaniem podatności
Według Malwarebytes BobDaHacker po raz pierwszy zgłosił błąd 3 stycznia 2026 roku, wysyłając wiadomości e-mail do dziewięciu różnych kontaktów, w tym do Click To Pray, Światowej Sieci Modlitwy Papieża i ogólnego adresu informacyjnego. Z raportu wynika, że problem pozostawał nierozwiązany przez ponad sześć miesięcy i został naprawiony dopiero po tym, jak badacz skontaktował się z dziennikarzem, który następnie skontaktował się z Watykanem.
Ta chronologia uwidacznia częsty problem w ujawnianiu podatności.
Zgłoszenie błędu ma wartość tylko wtedy, gdy organizacja dysponuje działającym procesem jego przyjęcia, analizy, potwierdzenia i naprawy.
Bez takiego procesu nawet proste, ale poważne podatności mogą pozostawać odsłonięte przez miesiące.
Dlaczego to ma znaczenie
Incydent z Click To Pray pokazuje, że ryzyko dla prywatności nie dotyczy wyłącznie banków, szpitali czy dużych sieci społecznościowych.
Każda aplikacja, która zbiera dane osobowe, odpowiada za ich ochronę.
Aplikacje religijne i społecznościowe mogą przechowywać szczególnie wrażliwy kontekst, ponieważ ujawniają coś o przekonaniach, zwyczajach, tożsamości lub zaufanych wspólnotach danej osoby.
Nawet gdy ujawnione pola są podstawowe, otaczający je kontekst może uczynić ekspozycję groźniejszą.
E-mail phishingowy odwołujący się do konta użytkownika w aplikacji modlitewnej, jego wspólnoty wyznaniowej lub usługi powiązanej z Watykanem może być bardziej przekonujący niż zwykłe oszustwo.
Co powinni zrobić użytkownicy
Każdy, kto korzystał z Click To Pray, powinien założyć, że jego imię i nazwisko, adres e-mail, kraj i data urodzenia mogły zostać ujawnione.
Użytkownicy powinni zachować ostrożność wobec:
- wiadomości e-mail rzekomo od Click To Pray
- fałszywych wiadomości od Watykanu lub organizacji charytatywnych o charakterze religijnym
- próśb o darowizny
- e-maili z weryfikacją konta
- monitów o logowanie do wspólnoty modlitewnej
- wiadomości z prośbą o hasła lub dane płatnicze
- linków do nieoficjalnych stron logowania
Użytkownicy powinni unikać klikania linków w nieoczekiwanych wiadomościach i zamiast tego wchodzić bezpośrednio na oficjalne strony internetowe lub do oficjalnych aplikacji.
Jeśli to samo hasło było używane w innych usługach, należy je niezwłocznie zmienić.
Czego powinni nauczyć się twórcy aplikacji
Ten incydent to podręcznikowe przypomnienie podstaw bezpieczeństwa API.
Deweloperzy powinni zapewnić, że:
- każde żądanie API sprawdza autoryzację
- użytkownicy mają dostęp wyłącznie do własnych rekordów, chyba że wyraźnie zezwolono inaczej
- kolejne identyfikatory nie są traktowane jako kontrola dostępu
- wrażliwe tokeny nigdy nie są zwracane w odpowiedziach API
- do punktów końcowych z danymi użytkowników stosuje się ograniczanie liczby żądań
- zgłoszenia dotyczące bezpieczeństwa mają jasno określony proces przyjmowania
- logi są przeglądane pod kątem prób masowego enumerowania
- aplikacje wrażliwe pod względem prywatności są regularnie poddawane testom bezpieczeństwa
Najważniejsza lekcja jest prosta: uwierzytelnianie potwierdza, kim jest użytkownik, ale autoryzacja decyduje o tym, do czego ten użytkownik ma dostęp.
Potrzebne są oba mechanizmy.
Podsumowanie
Ujawnienie danych w Click To Pray było spowodowane prostą, ale poważną usterką autoryzacji.
Przewidywalny identyfikator użytkownika i API, które nie weryfikowało prawidłowo dostępu, wystarczyły, by ujawnić dane osobowe ponad 700 000 użytkowników.
Ten przypadek pokazuje też, dlaczego procesy zgłaszania podatności mają znaczenie. Błąd odkryty w styczniu według doniesień pozostawał nierozwiązany przez miesiące, mimo wielokrotnych prób kontaktu.
Nigdy nie ufaj identyfikatorom dostarczanym przez klienta, nigdy nie ujawniaj tokenów weryfikacyjnych i nigdy nie zakładaj, że „mała” aplikacja jest zbyt niszowa, by stać się cennym celem.
