Vaticano vulnerable: hacker revela fuga masiva de datos de usuarios de la red de oración
Una falla de seguridad catastrófica en la Red Mundial de Oración del Papa León XIV ha expuesto los datos personales de más de 700.000 usuarios, incluyendo empleados del Vaticano, tras ser aprovechada por un hacker ético.
Una grieta en la fortaleza digital del vaticano
Todo comenzó con BobDaHacker, un experto en seguridad que, lejos de lucrarse con la información, decidió alertar sobre una vulnerabilidad crítica en la aplicación Click to Pray, la herramienta digital de la Iglesia para fomentar la oración. El hacker, catalogado como ‘white hat’, descubrió un fallo de tipo IDOR – Insecure Direct Object Reference – que permitía acceder a la base de datos sin necesidad de hackear la plataforma, simplemente creando una cuenta y ejecutando un script básico.
La clave reside en una deficiencia en la verificación de la sesión: La plataforma, tanto en su versión web como en las aplicaciones iOS y Android, validaba el inicio de sesión, pero no aseguraba que el usuario accediera a la información correcta. Esto abrió la puerta a un acceso masivo a datos como nombres, apellidos, direcciones de correo electrónico y países de origen de los usuarios, incluyendo a funcionarios vaticanos.
“Fue como encontrar la cerradura del cofre principal con una simple instrucción,” explica BobDaHacker. “No se requirió fuerza bruta o sofisticados programas de hacking. Solo se necesitó entender cómo la aplicación gestionaba la autenticación y explotar esa debilidad.”
Aunque el hacker notificó al Vaticano y a la agencia de comunicación La Machi en enero, no hubo respuesta. Tras siete meses de silencio, decidió exponer la vulnerabilidad, lo que finalmente llevó a la corrección del error. La demora y la falta de reacción levantan serias interrogantes sobre la seguridad informática dentro de la institución.
El hacker ético, quien actuó por altruismo, resalta la gravedad del fallo: “Muchos de estos usuarios son personas mayores, poco familiarizadas con la tecnología, y podrían ser víctimas de estafas de phishing basadas en la suplantación de identidad del Vaticano.” El riesgo es palpable, especialmente en un contexto donde proliferan las estafas online dirigidas a la comunidad católica.
La situación ha generado indignación en algunos círculos digitales, que critican la falta de diligencia del Vaticano ante una amenaza tan evidente. El incidente pone de manifiesto la necesidad urgente de reforzar las medidas de seguridad en las instituciones que manejan grandes volúmenes de datos personales, especialmente aquellas que involucran a comunidades vulnerables.
La comunidad de seguridad cibernética, por su parte, celebra la acción del hacker, pero lamenta la falta de colaboración y la tardanza en solucionar un problema que podría haber tenido consecuencias devastadoras. El caso resalta la importancia de la colaboración entre expertos y las instituciones para prevenir y mitigar los riesgos informáticos.