Click To Pray, l’app di preghiera voluta da Papa Francesco e lanciata nel 2019, si è trasformata in un problema di sicurezza tutt’altro che trascurabile. Al suo interno si nascondeva una falla capace di esporre i dati personali di circa 700 mila utenti sparsi in tutto il mondo. Nome, cognome, indirizzo email, paese e data di nascita: tutte informazioni che, per un difetto tecnico, potevano finire nelle mani di chiunque avesse voglia di andarle a cercare.
A far emergere il problema è stato un ricercatore indipendente esperto di cybersecurity, noto con lo pseudonimo di BobDaHacker. La sua segnalazione sarebbe partita il 3 gennaio 2026 ma, stando a quanto raccontato, al 24 luglio dello stesso anno non era ancora arrivata nessuna correzione. Parole sue: la vulnerabilità era ancora attiva e nessuno aveva risposto, con l’impressione che quella mail non fosse esattamente in cima alle priorità di qualcuno. Il difetto sembra essere stato sistemato soltanto quando il ricercatore ha coinvolto un giornalista, che ha poi girato una richiesta di chiarimenti direttamente al Vaticano.
Come funzionava la falla nell’app del Vaticano
Il cuore del problema stava in un endpoint API dell’applicazione. Detto in modo semplice, un’API è il canale che permette all’app di chiedere e ricevere dati dai server. In teoria, solo l’applicazione installata sul telefono dovrebbe inoltrare queste richieste, ricevendo indietro esclusivamente le informazioni della persona che la sta usando in quel momento. Qui invece succedeva l’opposto: l’API restituiva dati su tutti gli utenti a chiunque ne facesse richiesta.
Il motivo è tanto banale quanto grave. L’API non controllava se chi chiedeva un certo record fosse davvero autorizzato a vederlo. Bastava indicare un numero identificativo, da 1 fino a 719.517, e il sistema sputava fuori il record corrispondente. Dentro c’era di tutto: indirizzo email, nome, cognome, paese e data di nascita. Nessuna barriera, nessuna verifica. Un archivio aperto, praticamente.
Cosa fare per proteggersi dopo il caso Click To Pray
Chi è tra gli utenti registrati su Click To Pray farebbe bene a partire dal presupposto che i propri dati possano essere in circolazione. Email, nome, data di nascita e paese potrebbero già essere finiti dove non dovrebbero. La prima accortezza riguarda i messaggi che si spacciano per comunicazioni ufficiali del Vaticano o di servizi collegati, quelli che invitano a cliccare, verificare l’account o accedere con urgenza. Sono lo schema classico del phishing, e in un momento come questo è facile abbassare la guardia.
C’è poi un rischio più sgradevole. Quando informazioni personali finiscono nelle mani sbagliate, capita di ricevere email di estorsione a sfondo sessuale, quelle costruite apposta per generare paura e spingere la vittima a pagare. Il consiglio, semplice ma efficace, è non farsi prendere dal panico. Meglio prendersi il tempo di ragionare, cancellare i messaggi sospetti e segnalarli come spam senza rispondere né cliccare su nulla. Agire sull’onda dell’ansia è esattamente ciò su cui contano i truffatori.