Watykańska aplikacja ujawniła dane 700 tysięcy osób! Twórcy milczeli przez pół roku

Oficjalna aplikacja modlitewna Watykanu stała się bohaterem jednego z najbardziej niepokojących skandali związanych z bezpieczeństwem cyfrowym w ostatnim czasie. Jak ujawnił niezależny badacz cyberbezpieczeństwa, wyciek w aplikacji Click to Pray, umożliwiał dowolnej osobie pobranie wrażliwych danych osobowych kilkuset tysięcy użytkowników z całego świata. Choć pierwsze zgłoszenia o krytycznych lukach trafiły do twórców oprogramowania już na początku roku, niebezpieczne błędy pozostawały niezabezpieczone przez ponad pół roku, stwarzając bezpośrednie zagrożenie dla ponad 700 tysięcy osób.

Zerowy poziom zabezpieczeń w oficjalnej aplikacji Watykanu

Sprawa wyszła na jaw za sprawą eksperta ukrywającego się pod pseudonimem BobDaHacker, który odkrył potężną lukę w architekturze API aplikacji Click to Pray – oficjalnej platformy Papieskiej Światowej Sieci Modlitewnej. System bazy danych okazał się praktycznie pozbawiony podstawowych mechanizmów obronnych. Osoby nieuprawnione mogły z łatwością uzyskać dostęp do pełnych profili użytkowników, wpisując po prostu kolejne identyfikatory użytkowników (User ID) bezpośrednio w zapytaniach do serwera.

Wśród ujawnionych informacji znalazły się kluczowe dane osobowe, takie jak imiona, nazwiska, adresy e-mail oraz dokładne daty urodzenia. Choć na pierwszy rzut oka zakres ten może wydawać się ograniczony, dla cyberprzestępców stanowi on kompletne wyposażenie niezbędne do przeprowadzenia skutecznych ataków phishingowych. Ekspert zwrócił uwagę na fakt, że ogromną część społeczności aplikacji stanowią osoby starsze oraz mniej biegłe w technologiach cyfrowych. Czyniło to z bazy danych Click to Pray idealny cel dla oszustów i wyłudzaczy pieniędzy.

Pobranie całej bazy zajmowało chwile. Błędy w logice API

Mechanizm pozyskiwania danych okazał się niezwykle prosty do zautomatyzowania nawet dla początkującego hakera. Baza danych nadawała nowym kontom identyfikatory w sposób sekwencyjny, a same serwery nie posiadały żadnych limitów zapytań. Do przejęcia całego rejestru użytkowników wystarczyło napisanie prostego skryptu wysyłającego podstawowe zapytania typu GET. Co więcej, kod weryfikacyjny służący do potwierdzania rejestracji był przechowywany w formie otwartego tekstu. To pozwalało osobom postronnym na sztuczne aktywowanie kont bez dostępu do skrzynki odbiorczej.

Dopełnieniem obrazu zaniedbań były same wiadomości e-mail wysyłane przez system aplikacji. Konstrukcja nagłówków i treści sprawiała, że nawet oficjalne komunikaty od Watykanu wyglądały jak wiadomości spamerskie lub próby oszustwa. Choć skala wycieku nie dorównuje największym incydentom w historii branży IT, baza licząca w połowie 2026 roku blisko 720 tysięcy aktywnych kont, dawała oszustom ogromne pole do popisu. Gdyby zaledwie 1% poszkodowanych dał się naciągnąć na zaawansowany phishing, ponad 7 tysięcy osób mogłoby ponieść poważne straty finansowe.

Pół roku milczenia i dopiero reakcja po publikacji w mediach

Najbardziej bulwersującym wątkiem całej sprawy pozostaje postawa twórców oprogramowania. Zgłoszenie o krytycznym stanie zabezpieczeń wysłano do dziewięciu osób odpowiedzialnych za projekt jeszcze w styczniu 2026 roku. Przez kolejne sześć miesięcy badacz nie otrzymał żadnej odpowiedzi, a luki w systemie pozostawały otwarte. Dopiero po powiadomieniu dziennikarza śledczego z serwisu Dark Reading i opublikowaniu nagłaśniającego sprawę artykułu, deweloperzy po cichu połatali dziury w API. Do dziś jednak autor odkrycia nie doczekał się oficjalnych podziękowań ani komentarza ze strony przedstawicieli Watykanu.

Incydent z aplikacją Click to Pray pokazuje, jak niebezpieczne może być lekceważenie podstawowych zasad cyberbezpieczeństwa. Nawet w przypadku projektów o charakterze religijnym czy charytatywnym. Dla użytkowników tego typu usług to bolesne przypomnienie, że dane osobowe przekazywane w sieci zawsze wymagają ostrożności. Natomiast brak reakcji ze strony twórców aplikacji na zgłoszenia o lukach to czerwona flaga dla każdego internauty.