2019年1月20日，教皇方济各在梵蒂冈使徒宫的一扇窗前，向圣彼得广场发表了他每周的三钟经讲话。在讲话中，他号召信徒们下载使用教会当时新推出的“点击祈祷”应用程序——旁边一位牧师举着平板电脑，帮忙做了演示。在随后的几年里，数十万人注册使用了该应用。

但也许他们本不该注册，因为事实证明，“点击祈祷”应用直到最近都竟然满是泄露信息的安全漏洞。白帽黑客BobDaHacker在7月24日的一篇博客文章中（经由The Register报道）披露，“教皇的官方应用暴露了70多万用户的电子邮件”。该漏洞此后已被修复，但似乎是在BobDaHacker公开调查结果之后才修复的——黑客和记者从今年1月起就一直在追问，却始终没人回应。

该漏洞本身相当简单。当你注册“点击祈祷”时，网站会为你的用户账户分配一个ID号码。第一个注册的用户ID是1，第二个是2，以此类推，一直排到几十万。

问题在于，通过访问https://api.clicktopray.org/user/users/[ID号码填在这里]，你就可以获取你所输入ID号码对应用户的姓名和电子邮件地址，以及其他一些信息。“啥授权检查都没有，也不验证归属。只要把数字往上加，就能拿到别人的数据。主安排得明明白白，”BobDaHacker写道。

“电子邮件地址。名字。姓氏。国家。出生日期（或者用他们后端的叫法，borned_date，好像语法错误是什么神圣的事一样）。角色。账户是否已被删除。所有这一切，任何用户的，无需任何验证，”他们继续说道。“响应头里还有X-Powered-By: Express，因为梵蒂冈正在用Node.js训练营第二周就会教的那个框架来运行它的祈祷基础设施。”我脑子不够用，听不懂这个，但听起来毒舌得让人笑出声。

更绝的是，Click To Pray没有对访问进行速率限制，这意味着恶意攻击者不费吹灰之力就能把该应用每一个用户的详细信息全部抓取下来。正如化名BobDaHacker的黑客所指出的，会使用教皇iPad应用的那类人很可能是“年纪较大、不太懂技术、并且对任何与梵蒂冈相关的东西深信不疑”，这使得这些数据变成了“网络钓鱼的宝地。

“想象一下收到一封邮件写着‘圣父要求你紧急关注’，附着一个看起来像梵蒂冈的链接。奶奶肯定点。每次都点。”更糟的是，来自该应用的邮件触发了警告说“此邮件未通过其域名的身份验证要求（说白了就是这邮件来路可疑）”，这意味着“Click To Pray发来的真邮件看着就跟钓鱼邮件一样。”

好消息是：这个问题现在似乎已经修复了，虽然来得有点晚。“我在2026年1月初发现了这个问题，1月3日我给九个人发了邮件，”BobDaHacker说道，还列出了好几个梵蒂冈和Click To Pray相关的邮箱。“没有任何回复。没有一个人回复。”

直到BobDaHacker把信息交给一名记者、写了博客文章之后，事情才好像有了变化。“七个月的沉默，然后一声不吭地，GET /user/users/{id}悄悄就不再给好东西了，”他们写道。“现在有了授权检查：请求自己的用户ID，还是能拿回自己的邮箱；请求别人的，就只能拿到一个公开资料。”我自己甚至也注册了这个应用——到时候见——我收到的邮件也没有在我的客户端里触发任何警报。谢天谢地。