É caso para dizer: ‘Rezem para que os vossos dados não tenham sido expostos’. Uma falha de segurança na aplicação Click To Pray permitiu consultar informação pessoal de mais de setecentos mil utilizadores sem verificar se quem fazia o pedido tinha autorização para aceder à informação. A vulnerabilidade expunha «nomes, endereços de correio electrónico, países, datas de nascimento e o estado das contas».
Disponível para iOS, Android e através do site clicktopray.org, a Click To Pray é a aplicação oficial da Rede Mundial de Oração do Papa. O serviço está disponível em sete idiomas, permite acompanhar as intenções mensais do Santo Padre e tinha 719 517 contas registadas em Julho de 2026.
A investigadora de segurança conhecida como BobDaHacker descobriu a vulnerabilidade no início de Janeiro e comunicou-a a nove contactos ligados à aplicação e à Rede Mundial de Oração do Papa no dia 3 desse mês. Segundo a especialista, não lhe foi dada «qualquer resposta durante mais de seis meses» e o problema permaneceu activo até à divulgação pública da investigação.
A falha era do tipo IDOR, sigla inglesa para ‘Insecure Direct Object Reference’. Este problema ocorre quando uma aplicação aceita um identificador fornecido pelo utilizador e devolve a informação correspondente sem confirmar se essa pessoa tem autorização para a consultar.
No caso da Click To Pray, cada nova conta recebia um «número sequencial», sendo que bastava alterar esse identificador no pedido enviado à interface de programação da aplicação para «consultar os dados associados a outro utilizador». A plataforma também não limitava o número de pedidos, o que permitiria percorrer automaticamente todas as 719 517 contas.
A investigadora detectou, ainda, problemas no processo de validação das contas e na autenticação dos e-mails enviados pela plataforma. Estas falhas podiam «facilitar a criação de contas com endereços pertencentes a terceiros e tornar mais difícil distinguir uma mensagem legítima de uma tentativa de fraude», lembra.
Para já, não existem indícios de que alguém tenha descarregado a totalidade dos dados e vulnerabilidade foi corrigida após a publicação da investigação: a app passou a devolver apenas o nome e o apelido nos perfis de terceiros, informação considerada pública no serviço, e reservou os restantes dados pessoais ao respectivo titular.
