App oficial de orações do Papa vaza dados de 719 mil fiéis, e o Vaticano ignora o alerta há seis meses

Rezar pelo celular também tem seus riscos, ao que parece. Segundo o site The Register, o aplicativo Click To Pray, ligado à Rede Mundial de Oração do Papa e usado por fiéis católicos para acompanhar intenções de oração, vaza dados pessoais de mais de 719 mil usuários há pelo menos seis meses, sem que a organização responsável tenha corrigido o problema ou dado qualquer satisfação pública.

A falha foi encontrada pelo pesquisador de segurança conhecido como BobDaHacker, e é do tipo mais simples de existir num aplicativo: basta trocar um número na hora de pedir informação para o sistema entregar os dados de qualquer outro usuário, sem pedir senha nem checar se quem está perguntando tem permissão para ver aquilo. Cada conta no Click To Pray tem um número de identificação sequencial, e o servidor devolve o perfil correspondente a quem pedir, seja o dono da conta ou um estranho qualquer. Na prática, dava para ir subindo os números um a um e coletar, aos poucos, o cadastro inteiro do aplicativo.

O que ficou exposto não é pouco: nome completo, e-mail, país de origem e data de nascimento de cada usuário, além de uma marcação mostrando quais contas já tinham sido excluídas. Para quem usa um app de oração, a expectativa é ficar entre a própria fé e o próprio celular, não ter o e-mail e a data de nascimento à disposição de qualquer pessoa disposta a testar uma sequência de números numa barra de endereço.

BobDaHacker avisou a Rede Mundial de Oração do Papa em 3 de janeiro, enviando o relato para nove endereços oficiais ligados à organização. Nenhum respondeu. Passados seis meses, quando a reportagem do The Register foi ao ar, a falha continuava ativa e os dados seguiam expostos. O jornal também tentou contato com os responsáveis pelo aplicativo para pedir um posicionamento e não teve retorno.

Há ainda um risco adicional apontado pelo pesquisador: o cadastro no aplicativo expõe códigos de verificação que, em tese, poderiam ser usados para tomar conta de perfis alheios, e os e-mails de confirmação legítimos enviados pelo Click To Pray falham nas checagens de autenticidade que normalmente separam mensagem real de tentativa de phishing. Mesmo um e-mail genuíno do aplicativo pode parecer suspeito, o que facilita a vida de golpistas que queiram se passar pelo serviço oficial.

Esse tipo de falha, tecnicamente batizada de IDOR, sigla para referência direta insegura a objeto, é considerado básico dentro da segurança da informação: o tipo de problema que qualquer checklist de revisão de código deveria pegar antes de um aplicativo ir ao ar. Vê-la sobrevivendo seis meses sem resposta, num sistema mantido por uma organização ligada ao Vaticano e usado por centenas de milhares de fiéis ao redor do mundo, mostra como a segurança básica ainda fica em segundo plano mesmo em aplicativos desse porte.

Por enquanto, quem tem conta no Click To Pray não tem muito o que fazer além de ficar atento: desconfiar de e-mails que peçam para clicar em links ou confirmar dados, e evitar reutilizar a senha do aplicativo em outros serviços. Como a falha segue sem correção confirmada, o risco de golpes usando essas informações continua em aberto até que a organização responsável se manifeste.