Imagina a cena: o próprio Papa Francis, em rede mundial, convoca a galera a baixar um app para rezar e se conectar com a fé. Parece tudo certo, né? Mas a real é que o Click to Pray acabou se tornando a maior porta aberta para hackers que eu já vi em muito tempo. O que deveria ser uma ferramenta de espiritualidade virou, na prática, um buffet livre de dados pessoais para qualquer malandro com um navegador de internet.
Nós aqui da redação ficamos chocados com o nível do amadorismo. Não estamos falando de um indie feito por um estudante no porão de casa, mas de uma infraestrutura oficial do Vaticano. O nível de negligência com a segurança dos fiéis é tão absurdo que chega a ser surreal, transformando a confiança dos usuários em um risco real de golpes e phishing em escala massiva.
A falha era tão básica que chega a dar vergonha. O hacker white-hat conhecido como BobDaHacker descobriu que o site do app usava IDs sequenciais para os usuários. Ou seja: o primeiro cara a se cadastrar era o ID 1, o segundo era o 2, e assim por diante. Para acessar os dados de qualquer pessoa, bastava mudar o número no final da URL do site e dar enter. Sem senha, sem login, sem qualquer tipo de verificação de quem estava pedindo a informação.
O estrago foi gigante, com mais de 700.000 e-mails expostos. Mas não parou por aí; o vazamento incluía nomes completos, países de origem e até a data de nascimento. Detalhe bizarro: no código do backend, a data de nascimento estava escrita como borned_date, provando que além de não saberem de segurança, a galera que codou isso também não domina o básico do inglês. É aquele tipo de erro que faz qualquer dev de PC chorar no banho.
Para piorar esse cenário desastroso, o app foi construído usando Express, um framework de Node.js que qualquer iniciante aprende na segunda semana de um bootcamp. O problema não é a ferramenta, mas como usaram. Não existia limite de requisições (rate limit), o que significa que um script simples poderia baixar a base de dados inteira em segundos. Foi um flop técnico monumental que deixou a infraestrutura de orações do Vaticano vulnerável a qualquer script kiddie.
Agora, pensa no perfil de quem usa esse app. Geralmente são pessoas mais velhas, menos tech-savvy e que confiam cegamente em tudo que vem do Vaticano. Para um criminoso, isso é uma mina de ouro. Um e-mail dizendo "O Santo Padre solicita sua atenção urgente" com um link falso seria clicado por qualquer avó ou avô instantaneamente. O risco de phishing aqui não é apenas possível, é inevitável dada a natureza do público.
Como se não bastasse a vulnerabilidade, os próprios e-mails legítimos do app estavam falhando nos requisitos de autenticação de domínio. Na prática, isso fazia com que as mensagens reais do Click to Pray já chegassem com aviso de spam ou phishing. Ou seja, o Vaticano treinou seus próprios usuários a ignorarem alertas de segurança ou, pior, a aceitarem e-mails suspeitos como algo "normal" do app, abrindo caminho para golpes reais.
O que mais revolta nessa história é a postura da instituição. O BobDaHacker tentou avisar o Vaticano e a equipe do app desde janeiro de 2026. Ele mandou e-mails para nove pessoas diferentes, mas foi ignorado solenemente por sete meses. O silêncio foi absoluto, como se a privacidade de quase um milhão de pessoas não fosse prioridade para quem cuida da moral do mundo. É um descaso total com a LGPD e a segurança digital.
Só depois que o hacker resolveu publicar tudo em seu blog e a imprensa começou a morder a isca é que o Vaticano resolveu se mexer. E fizeram isso do jeito mais covarde possível: aplicaram o patch silenciosamente, sem dar nenhuma satisfação para os usuários afetados. Simplesmente bloquearam o acesso ao ID de terceiros e fingiram que nada aconteceu, sem um pedido de desculpas ou um aviso de que seus dados estiveram expostos por meses.
Se você quer ler mais sobre esse tipo de desastre tecnológico, vale a pena conferir nossa seção de Notícias para ver como grandes empresas e instituições continuam errando no básico. É impressionante como, mesmo com todo o dinheiro do mundo, algumas organizações ainda tratam a segurança de dados como um detalhe opcional, enquanto nós, gamers e entusiastas de tecnologia, sabemos que um único bug pode derrubar todo o hype de um lançamento.
No fim das contas, esse episódio serve como um lembrete brutal: não importa quem promove o software, se a equipe de desenvolvimento for incompetente, seus dados estão em risco. O Vaticano tentou digitalizar a fé, mas acabou entregando a senha do servidor para o mundo inteiro. Esperamos que, da próxima vez, eles contratem profissionais de verdade em vez de alguém que acabou de terminar a primeira semana de um curso de programação.
Meu veredito é simples: nota zero para a gestão de crise e nota zero para a arquitetura de software. É inadmissível que em 2026 a gente ainda veja vulnerabilidades de ID sequencial em apps oficiais de escala global. Se você usa o Click to Pray, troque suas senhas e fique de olho em e-mails estranhos, porque a sua fé pode ser inabalável, mas a segurança do Vaticano é de papel.
Click to Pray
Acesse o site oficial de Click to Pray para conferir notícias exclusivas, patch notes, atualizações, mídias oficiais e canais comunitários da desenvolvedora.
💬 Comentários da Comunidade
Carregando comentários...