La app oficial de oración del Papa expuso los datos de casi 720.000 usuarios
Una grave vulnerabilidad en Click To Pray, la aplicación oficial de oración de la Red Mundial de Oración del Papa, mantuvo expuestos durante más de seis meses los datos personales de alrededor de 720.000 usuarios de todo el mundo.
El fallo permitía consultar nombres, apellidos, correos electrónicos, fechas de nacimiento y otros datos introduciendo números de usuario consecutivos en una dirección de la API. Lo más preocupante es que no era necesario iniciar sesión, disponer de conocimientos avanzados ni superar ningún mecanismo de seguridad.
Aunque el problema fue comunicado en enero de 2026, los responsables de la plataforma no respondieron a los avisos del investigador. La vulnerabilidad solamente fue corregida después de que el caso llegara a los medios especializados en ciberseguridad, más de medio año después de su descubrimiento.
Una aplicación oficial vinculada al Vaticano
Click To Pray no es una aplicación religiosa cualquiera. Se trata de la plataforma oficial de la Red Mundial de Oración del Papa, una obra pontificia que permite seguir las intenciones mensuales del pontífice, acceder a oraciones diarias y compartir peticiones con otros miembros de la comunidad.
La aplicación está disponible para dispositivos iOS y Android, además de contar con una versión web. Su presencia internacional es considerable, ya que ofrece contenidos en varios idiomas y reúne usuarios procedentes de prácticamente todos los países del mundo.
La plataforma fue presentada públicamente en 2019 y ha logrado acumular una comunidad enorme. En julio de 2026, su base de datos contenía 719.517 cuentas registradas, una cifra que convierte cualquier problema de privacidad en un incidente potencialmente muy serio.
Precisamente esa confianza asociada a una institución como el Vaticano hacía que el problema resultara especialmente delicado. Quienes se registraban en Click To Pray podían asumir razonablemente que sus datos estarían protegidos, pero durante meses una parte importante de esa información estuvo disponible a través de una API sin las comprobaciones de autorización necesarias.
El fallo permitía consultar datos cambiando un número
La vulnerabilidad fue descubierta a principios de enero de 2026 por un investigador de seguridad conocido como BobDaHacker. Durante sus pruebas encontró un endpoint de la API que devolvía información de cualquier cuenta con solo indicar su identificador numérico.
Cada usuario recibía un ID secuencial al crear su perfil. Esto significa que, si una cuenta tenía asignado el número 100.000, bastaba con sustituirlo por 100.001, 100.002 o cualquier otro valor para solicitar los datos de otras personas.
El servidor entregaba esa información sin comprobar si quien realizaba la petición era el propietario de la cuenta. Tampoco exigía autenticación, un token válido o algún permiso especial, por lo que la consulta podía efectuarse directamente desde un navegador.
Este tipo de error se conoce como IDOR, siglas de Insecure Direct Object Reference. Es una vulnerabilidad de control de acceso en la que una aplicación permite acceder a recursos ajenos modificando un identificador, sin verificar que el usuario tenga autorización para verlos.
Qué información estuvo expuesta
Las respuestas de la API podían incluir el nombre, los apellidos, la dirección de correo electrónico, el país y la fecha de nacimiento del usuario. También mostraban el rol asociado a la cuenta y si el perfil había sido eliminado.
La información sobre los privilegios de cada cuenta también quedaba reflejada. Los perfiles convencionales aparecían con el rol “PRAYER”, mientras que la respuesta podía revelar si una cuenta tenía funciones administrativas o pertenecía al personal de la organización.
Los identificadores más bajos correspondían aparentemente a trabajadores y responsables de Click To Pray. Por tanto, el fallo no solamente exponía a los usuarios de la aplicación, sino que también podía facilitar la identificación de posibles objetivos internos con acceso privilegiado.
Aunque no se filtraran directamente contraseñas o datos bancarios, la combinación de nombres reales, correos electrónicos, fechas de nacimiento y afinidad religiosa posee un valor considerable para los ciberdelincuentes. Esta información permite crear engaños mucho más creíbles y personalizados.
Extraer las 719.517 cuentas habría sido muy sencillo
El diseño de los identificadores facilitaba enormemente una recopilación masiva. Al ser números correlativos, un atacante podía comenzar por el primer usuario e ir aumentando el valor de uno en uno hasta recorrer prácticamente toda la base de datos.
Además, la API no parecía imponer un límite de peticiones capaz de frenar este comportamiento. En la práctica, habría sido posible automatizar el proceso con un programa sencillo que enviara una solicitud GET por cada identificador y almacenara las respuestas.
No era necesario explotar una compleja cadena de vulnerabilidades, instalar malware o comprometer un servidor interno. El problema se encontraba en una interfaz públicamente accesible que proporcionaba los datos solicitados sin verificar correctamente quién los pedía.
Los investigadores no han presentado pruebas públicas de que un tercero descargara la base de datos completa. Sin embargo, la ausencia de indicios no permite descartar que alguien pudiera haber descubierto y aprovechado el fallo durante los meses en los que permaneció abierto.
Un escenario perfecto para campañas de phishing
El mayor riesgo para los afectados estaba relacionado con el phishing y la ingeniería social. Conociendo el nombre del usuario, su correo y su relación con una aplicación oficial del Vaticano, un delincuente podía preparar mensajes extremadamente convincentes.
Por ejemplo, los atacantes podían hacerse pasar por la Red Mundial de Oración del Papa y solicitar una donación, advertir de un supuesto problema con la cuenta o invitar a acceder a un contenido religioso mediante un enlace malicioso.
La naturaleza de la plataforma podía incrementar la efectividad de esos mensajes. Muchos usuarios probablemente confiarían más en una comunicación que utilizara referencias al Papa, al Vaticano o a una intención de oración que en un correo genérico enviado por una empresa desconocida.
El investigador también señaló que parte de la comunidad podría estar formada por personas mayores o con poca experiencia tecnológica. Este perfil suele ser especialmente vulnerable ante mensajes que transmiten confianza, autoridad o urgencia, tres ingredientes habituales en las estafas digitales.
Incluso el sistema de verificación tenía problemas
Durante el análisis apareció un segundo fallo relacionado con el registro de nuevas cuentas. La API devolvía directamente un elemento denominado validation_hash, que era el mismo código utilizado posteriormente en el enlace de confirmación enviado por correo electrónico.
Esto permitía crear una cuenta con cualquier dirección y completar la validación utilizando el código proporcionado por el propio servidor. En otras palabras, era posible verificar el perfil sin demostrar previamente que se tenía acceso al buzón indicado.
El correo de confirmación también presentaba problemas de autenticación. Según el investigador, su cliente de correo mostró una advertencia indicando que el mensaje no cumplía correctamente los requisitos de autenticación del dominio.
Esta situación podía deberse a una configuración inadecuada de mecanismos como SPF, DKIM o DMARC. El resultado era especialmente preocupante: los correos legítimos de Click To Pray podían parecer sospechosos, dificultando que los usuarios distinguieran una comunicación real de una posible suplantación.
Nueve avisos enviados y más de seis meses de silencio
BobDaHacker asegura que descubrió la vulnerabilidad a principios de enero de 2026. El 3 de enero envió información detallada sobre el problema a nueve direcciones relacionadas con Click To Pray y con la Red Mundial de Oración del Papa.
Entre los destinatarios se encontraban la dirección general de contacto, varios miembros de la organización y responsables vinculados a la obra pontificia. Sin embargo, el investigador afirma que no recibió ninguna contestación.
Durante los meses siguientes tampoco observó cambios en el comportamiento de la API. El endpoint continuó devolviendo información personal, mientras la plataforma seguía aceptando registros y aumentando su número de usuarios.
La organización tampoco disponía aparentemente de un programa público de divulgación de vulnerabilidades, un sistema de recompensas o un archivo security.txt que indicara a los investigadores dónde comunicar de forma segura este tipo de problemas.
La intervención de un medio consiguió desbloquear el caso
Después de esperar más de seis meses, el investigador trasladó la información a Nate Nelson, periodista especializado en seguridad de Dark Reading. El medio analizó el problema y confirmó de manera independiente que la vulnerabilidad seguía activa.
Dark Reading también intentó ponerse en contacto con la Red Mundial de Oración del Papa y con La Machi Communication for Good Causes, la agencia que diseñó y desarrolló Click To Pray. En el momento de preparar su información, no había recibido respuesta.
El artículo fue publicado el 24 de julio de 2026 y detallaba cómo cualquier internauta podía consultar la información de más de 700.000 cuentas introduciendo una dirección en el navegador.
La publicación del caso cambió rápidamente la situación. Después de meses sin novedades, los responsables de la plataforma modificaron silenciosamente el funcionamiento del endpoint durante las horas posteriores a la difusión de la noticia.
La vulnerabilidad ya ha sido corregida
El propio investigador volvió a comprobar la API el 24 de julio y confirmó que los datos personales más sensibles ya no se mostraban al consultar cuentas ajenas. Los correos electrónicos, los países y las fechas de nacimiento habían desaparecido de las respuestas públicas.
La plataforma introdujo además una comprobación de autorización. Cuando un usuario solicita su propio perfil puede seguir recibiendo su información completa, pero al consultar el identificador de otra persona únicamente obtiene los datos públicos previstos por el servicio.
Los nombres y apellidos pueden continuar apareciendo porque Click To Pray funciona como una comunidad en la que los participantes comparten oraciones. Según el investigador, esa información formaba parte del perfil público y no constituía el elemento más peligroso de la filtración.
La corrección parece resolver adecuadamente el fallo principal. Sin embargo, los responsables de la aplicación no enviaron al investigador ningún agradecimiento, confirmación o explicación, por lo que este solo descubrió el cambio al probar nuevamente el endpoint.
Qué deberían hacer los usuarios afectados
Quienes tengan o hayan tenido una cuenta en Click To Pray deberían extremar la precaución ante correos inesperados relacionados con el Vaticano, el Papa, donaciones, peticiones de oración o supuestas incidencias con su perfil.
Es importante no abrir enlaces recibidos por correo sin comprobar cuidadosamente el dominio de destino. También conviene desconfiar de cualquier mensaje que solicite pagos, contraseñas, códigos de verificación o información bancaria con carácter urgente.
La contraseña de Click To Pray no figuraba entre los datos expuestos descritos por los investigadores. Aun así, quienes reutilizaran la misma clave en otros servicios deberían sustituirla por una contraseña única, especialmente si han observado actividad sospechosa.
También resulta recomendable activar la autenticación en dos pasos en la cuenta de correo vinculada a la aplicación. Como hemos explicado en otros casos de phishing y robo de credenciales, proteger el correo es fundamental, ya que suele actuar como vía de recuperación para muchos otros servicios.
Ocultar el correo puede reducir el impacto de una filtración
Algunos usuarios de Click To Pray emplearon nombres abreviados, alias o direcciones creadas específicamente para registrarse. Esa decisión habría limitado el valor de los datos obtenidos por un posible atacante.
También se detectaron cuentas creadas mediante “Ocultar mi correo” de Apple. Esta función genera una dirección aleatoria que reenvía los mensajes al buzón real del usuario sin revelar directamente su correo personal a la aplicación.
Cuando una de esas direcciones aparece en una filtración, el usuario puede desactivarla sin necesidad de abandonar su cuenta principal. De este modo, resulta más sencillo bloquear futuros mensajes de spam o intentos de suplantación.
El incidente demuestra que merece la pena proporcionar a cada servicio solamente la información imprescindible. Aunque una aplicación parezca inofensiva o esté respaldada por una institución reconocida, ninguna plataforma está completamente libre de errores de programación o malas prácticas de seguridad.
Una responsabilidad que no depende del tipo de organización
Click To Pray fue desarrollada por La Machi Communication for Good Causes y pertenece a la Red Mundial de Oración del Papa. Ninguna de las dos organizaciones es una gran compañía tecnológica, pero eso no reduce su obligación de proteger la información recopilada.
Cuando una plataforma almacena datos de cientos de miles de personas, pasa a convertirse en responsable de esa información. Su misión religiosa, social o benéfica no cambia las exigencias básicas de privacidad y ciberseguridad.
El Vaticano aprobó en abril de 2024 su propia normativa de protección de datos personales. El texto contempla la aplicación de medidas de seguridad apropiadas, la realización de análisis de riesgos y la existencia de procedimientos para comunicar incidentes.
La gestión de esta vulnerabilidad, sin embargo, muestra una distancia considerable entre esas obligaciones y la práctica. El fallo técnico era sencillo de solucionar, pero la ausencia de un canal de comunicación provocó que permaneciera abierto durante más de medio año.
Una llamada de atención para cualquier aplicación
El caso de Click To Pray vuelve a demostrar que los errores de control de acceso continúan siendo uno de los problemas más habituales de las aplicaciones web. Los sistemas pueden comprobar correctamente que una persona ha iniciado sesión y, aun así, no verificar qué información concreta está autorizada a consultar.
La solución no consiste únicamente en ocultar la dirección de una API. Los servidores deben validar cada solicitud y comprobar que el usuario autenticado tiene permiso para acceder al recurso solicitado, independientemente de lo que muestre la interfaz.
También resulta esencial implantar límites de peticiones, registros de actividad y alertas capaces de detectar consultas automatizadas de miles de perfiles. Estas medidas no sustituyen a una autorización correcta, pero pueden reducir el impacto de un fallo que haya pasado inadvertido.
Por último, toda organización debería publicar un contacto de seguridad fácilmente localizable y responder con rapidez a los avisos responsables. En este incidente, el problema técnico fue grave, pero el silencio mantenido durante seis meses convirtió un error corregible en una exposición prolongada de casi 720.000 usuarios.
