De officiële Click To Pray-app van het Vaticaan, in januari 2019 persoonlijk gepromoot door Paus Franciscus, heeft maandenlang de namen, e-mailadressen, geboortedata en accountgegevens van meer dan 700.000 gebruikers gelekt via een van de meest elementaire API-fouten die je kunt bedenken. Het lek is inmiddels gedicht, maar pas nadat white-hat hacker BobDaHacker op 24 juli 2026 met de bevindingen naar buiten trad, na zeven maanden lang geen antwoord te hebben gekregen op e-mails aan contactpersonen bij het Vaticaan.
Ontvang 1-month GTA+ subscription bij pre-order.
Pre-Order GTA 6 nu
Hoe een opeenvolgend ID een loper werd
Het punt is: de kwetsbaarheid zelf was niet geavanceerd. Wanneer een gebruiker zich registreerde voor Click To Pray, kende de backend van de app een opeenvolgend numeriek ID toe. Gebruiker één, gebruiker twee, gebruiker drie, enzovoort, tot voorbij de 700.000. Het probleem was dat het API-endpoint op https://api.clicktopray.org/user/users/[ID] totaal geen authenticatie vereiste. Voer een willekeurig nummer in en je kreeg het volledige profiel van die gebruiker terug.
Geen autorisatiecheck. Geen eigendomscontrole. Gewoon het ID verhogen en de data van iemand anders binnenhalen. De blootgestelde velden bevatten voornaam, achternaam, e-mailadres, land, geboortedatum (in de backend opgeslagen onder de veldnaam borned_date, omdat blijkbaar niet alleen het kerkelijk Latijn hier worstelt), accountrol en of het account was verwijderd.
De response headers identificeerden de server ook als draaiend op Express, het Node.js webframework. Zoals BobDaHacker het verwoordde: het Vaticaan draaide zijn gebeds-infrastructuur op het framework dat je in de tweede week van een Node.js bootcamp leert.
Zeven maanden stilte voor de fix
BobDaHacker ontdekte het lek begin januari 2026 en mailde op 3 januari negen verschillende contactpersonen bij het Vaticaan en Click To Pray. Niemand reageerde. De kwetsbaarheid bleef gedurende die hele periode openstaan, volledig onopgelost.
De situatie veranderde pas nadat BobDaHacker de bevindingen aan een journalist had voorgelegd en de blogpost van 24 juli had gepubliceerd. Kort daarna stopte het endpoint stilletjes met het teruggeven van de data van andere gebruikers. Geen publieke erkenning, geen disclosure, geen bericht aan de onderzoeker die het had gemeld. De fix is nu live: als je je eigen gebruikers-ID opvraagt, krijg je nog steeds je profiel, terwijl het opvragen van het ID van een andere gebruiker alleen nog hun publieke informatie teruggeeft.
De legitieme e-mails van Click To Pray genereerden ook authenticatiewaarschuwingen in mailclients, waardoor ze vóór de patch als potentiële phishing werden gemarkeerd. De echte app-mails gedroegen zich al als de neppe mails die een kwaadwillende actor zou sturen.
Waarom deze specifieke dataset gevaarlijk was
De mensen die een door de Paus goedgekeurde gebeds-app gebruiken, behoren tot een oudere, technisch minder ervaren doelgroep. De beoordeling van BobDaHacker was direct: deze data was een goudmijn voor phishing. Een aanvaller met toegang tot 700.000 geverifieerde namen, e-mails en landen, allemaal gekoppeld aan een religieuze instelling met een hoge vertrouwensfactor, zou overtuigende gerichte berichten kunnen opstellen waar een groot deel van de ontvangers zonder aarzelen op zou reageren.
Het scenario schrijft zichzelf. Een e-mail die dringende aandacht van de Heilige Vader claimt, met een domein dat aan het Vaticaan gelieerd is en de juiste naam van de ontvanger, zou een extreem hoge klikfrequentie hebben onder die gebruikersgroep. Het feit dat legitieme Click To Pray-e-mails al spamwaarschuwingen activeerden, maakte de situatie erger, niet beter. Gebruikers hadden geen betrouwbare manier om echte communicatie te onderscheiden van een gespoofte versie.
Wat de meeste gamers missen in security-verhalen als deze, is dat de technische eenvoud van de exploit het meest kwalijke is. Dit was geen zero-day. Het was geen geavanceerde supply chain attack. Het was een ontbrekende if-statement op een API-route, het soort slordigheid dat bij elk serieus softwarebedrijf al tijdens de eerste code review wordt afgevangen.
Voor een bredere context over hoe digitale systemen en hun onderliggende infrastructuurkeuzes op onverwachte manieren uitpakken, is de Nova Roma religion guide een goede herinnering dat zelfs in games de systemen die je op zwakke fundamenten bouwt, op het slechtst mogelijke moment instorten.
Het voor en na van de API van Click To Pray
De fix werkt, maar de tijdlijn vertelt het echte verhaal. Er gingen zeven maanden voorbij tussen de verantwoorde melding en het herstel. De patch kwam er pas na publieke druk, zonder enige communicatie naar de onderzoeker die het probleem vond. Voor een app met honderdduizenden gebruikers die verbonden is aan een van de meest herkenbare instellingen ter wereld, is die responstijd een ernstig falen van de basisprincipes van security.
Als je wilt begrijpen hoe vertrouwenssystemen en infrastructuurkeuzes op belangrijke manieren interageren, behandelt onze gaming guides hub genoeg games waarbij de architectuur die je vroeg kiest, alles bepaalt wat daarna komt. Het Vaticaan had, zo blijkt, een soortgelijke les kunnen gebruiken vóór de lancering.
De Click To Pray-app is nog steeds beschikbaar. Als je je hebt aangemeld, zouden je gegevens nu beschermd moeten zijn achter de autorisatiecheck die er vanaf dag één had moeten zijn. De Nova Roma tech tree guide daargelaten, is de bredere conclusie simpel: opeenvolgende ID's plus publieke API-endpoints plus geen auth staat gelijk aan een breach die op het punt staat te gebeuren, en 700.000 mensen betaalden de prijs voor die vergelijking terwijl de inbox van het Vaticaan een half jaar lang stil bleef.
