La aplicación oficial del Vaticano, Click To Pray, promovida personalmente por el Papa Francisco en enero de 2019, pasó meses filtrando los nombres, direcciones de correo electrónico, fechas de nacimiento y detalles de cuenta de más de 700,000 usuarios a través de uno de los descuidos de API más elementales que se puedan imaginar. La falla ya ha sido corregida, pero solo después de que el hacker de sombrero blanco BobDaHacker hiciera públicos los hallazgos el 24 de julio de 2026, tras siete meses de correos electrónicos sin respuesta a los contactos del Vaticano.
Obtén 1 mes de suscripción a GTA+ con tu reserva.
Reserva GTA 6 ahora
Cómo un ID secuencial se convirtió en una llave maestra
El asunto es este: la vulnerabilidad en sí no era sofisticada. Cuando un usuario se registraba en Click To Pray, el backend de la aplicación le asignaba un ID numérico secuencial. Usuario uno, usuario dos, usuario tres, y así sucesivamente, superando los 700,000. El problema era que el endpoint de la API en https://api.clicktopray.org/user/users/[ID] no requería ningún tipo de autenticación. Bastaba con ingresar cualquier número para obtener el perfil completo de ese usuario.
Sin verificación de autorización. Sin validación de propiedad. Solo incrementar el ID y recolectar los datos de alguien más. Los campos expuestos incluían nombre, apellido, dirección de correo electrónico, país, fecha de nacimiento (almacenada en el backend bajo el nombre de campo borned_date, porque al parecer el latín eclesiástico no es el único idioma que tiene problemas aquí), rol de la cuenta y si la cuenta había sido eliminada.
Los encabezados de respuesta también identificaban que el servidor ejecutaba Express, el framework web de Node.js. Como dijo BobDaHacker, el Vaticano estaba ejecutando su infraestructura de oración en el framework que aprendes en la segunda semana de un bootcamp de Node.js.
Siete meses de silencio antes de la solución
BobDaHacker descubrió la falla a principios de enero de 2026 y envió correos electrónicos a nueve contactos distintos del Vaticano y relacionados con Click To Pray el 3 de enero. Nadie respondió. La vulnerabilidad permaneció abierta durante todo ese silencio, sin ser atendida en absoluto.
La situación solo cambió después de que BobDaHacker llevó los hallazgos a un periodista y publicó la entrada de blog del 24 de julio. Poco después, el endpoint dejó de devolver silenciosamente los datos de otros usuarios. Sin reconocimiento público, sin divulgación, sin una palabra para el investigador que lo señaló. La corrección ya está activa: solicitar tu propio ID de usuario sigue devolviendo tu perfil, mientras que solicitar el ID de otro usuario solo devuelve su información pública.
Los correos electrónicos legítimos de Click To Pray también estaban generando advertencias de autenticación en los clientes de correo, marcándose como posible phishing antes del parche. Los correos reales de la aplicación ya se estaban comportando como los falsos que enviaría un actor malintencionado.
Por qué este conjunto de datos en particular era peligroso
Las personas que utilizan una aplicación de oración respaldada por el Papa tienden a ser de un grupo demográfico de mayor edad y con menos experiencia técnica. La evaluación de BobDaHacker fue directa: estos datos representaban una mina de oro para el phishing. Un atacante con acceso a 700,000 nombres, correos electrónicos y países verificados, todos asociados con una institución religiosa de alta confianza, podría elaborar mensajes dirigidos convincentes sobre los cuales una gran parte de los destinatarios actuaría sin dudarlo.
El escenario se escribe solo. Un correo electrónico que reclama atención urgente del Santo Padre, con un dominio adyacente al Vaticano y el nombre correcto del destinatario, tendría una tasa de clics extremadamente alta entre esa base de usuarios. El hecho de que los correos electrónicos legítimos de Click To Pray ya estuvieran activando advertencias de spam empeoró la situación, no la mejoró. Los usuarios no tenían una forma confiable de distinguir la comunicación real de una versión suplantada.
Lo que la mayoría de los jugadores pasan por alto en historias de seguridad como esta es que la simplicidad técnica del exploit es la parte más condenatoria. Esto no fue un zero-day. No fue un ataque sofisticado a la cadena de suministro. Fue una sentencia if faltante en una ruta de API, el tipo de descuido que se señala en una primera revisión de código en cualquier empresa de software seria.
Para un contexto más amplio sobre cómo las decisiones de los sistemas digitales y su infraestructura subyacente se desarrollan de maneras inesperadas, la guía de religión de Nova Roma es un buen recordatorio de que incluso en los videojuegos, los sistemas que construyes sobre cimientos débiles tienden a colapsar en el peor momento posible.
El antes y después de la API de Click To Pray
La corrección es funcional, pero la cronología cuenta la verdadera historia. Transcurrieron siete meses entre la divulgación responsable y la remediación. El parche solo llegó tras la presión pública, sin comunicación al investigador que encontró el problema. Para una aplicación con cientos de miles de usuarios vinculados a una de las instituciones más reconocibles del mundo, ese tiempo de respuesta es un fallo grave en las prácticas básicas de seguridad.
Si quieres entender cómo los sistemas de confianza y las decisiones de infraestructura interactúan de maneras que importan, nuestro centro de guías de videojuegos cubre muchos juegos donde la arquitectura que eliges al principio determina todo lo que sigue. El Vaticano, resulta, podría haber usado una lección similar antes del lanzamiento.
La aplicación Click To Pray sigue disponible. Si estás registrado, tus datos ahora deberían estar protegidos detrás de la verificación de autorización que debería haber estado allí desde el primer día. Dejando de lado la guía del árbol tecnológico de Nova Roma, la conclusión general aquí es simple: IDs secuenciales más endpoints de API públicos más falta de autenticación equivale a una brecha a punto de ocurrir, y 700,000 personas pagaron el precio por esa ecuación mientras la bandeja de entrada del Vaticano permaneció en silencio durante medio año.
