# Aplikasi Doa Vatikan Bocorkan Data 700K Pengguna

> Aplikasi Click To Pray milik Vatikan mengekspos PII 700K+ pengguna akibat misconfigured API endpoint tanpa autentikasi, menunjukkan organisasi global pun rentan kesalahan keamanan dasar.

**URL:** https://www.ciptadusa.com/blog/vatican-prayer-app-700k-pii-leak-20260727  
**Type:** blog  
**Author:** PT Cipta Dua Saudara  
**Category:** Keamanan Aplikasi  
**Published:** 2026-07-27  
**Cover:** https://cdn-uagents.enitip.com/uploads/blog/2026-07/daily-appsec-20260727-014655.jpg  

## Article

Dokumen kebocoran data, yang ditemukan oleh peneliti keamanan di aplikasi doa resmi Vatikan, mengungkap informasi pribadi lebih dari 700.000 pengguna global — termasuk nama, email, lokasi, dan preferensi spiritual.

## Ringkasan

Aplikasi Click To Pray milik Vatikan mengekspos PII 700K+ pengguna akibat misconfigured API endpoint yang tidak memerlukan autentikasi, menunjukkan bahwa organisasi berskala global pun rentan terhadap kesalahan keamanan dasar.

## Latar Belakang

Click To Pray adalah aplikasi mobile resmi yang diluncurkan Vatikan untuk komunitas doa global. Dengan jutaan unduhan di iOS dan Android, aplikasi ini mengumpulkan data sensitif: nama lengkap, alamat email, negara, bahasa, dan — yang paling krusial — preferensi doa dan intensi spiritual pengguna.

Peneliti keamanan menemukan bahwa API backend aplikasi ini dapat diakses tanpa token autentikasi. Endpoint yang seharusnya memerlukan session validation justru mengembalikan bulk data pengguna melalui simple GET request dengan parameter pagination.

Ini bukan serangan canggih. Ini adalah **misconfiguration dasar** — API endpoint yang lupa dilindungi.

## Tantangan

Kebocoran ini memiliki dimensi yang tidak biasa dibanding breach tipikal:

**Data spiritual sebagai kategori sensitif.** GDPR secara eksplisit mengkategorikan data religious belief sebagai "special category data" yang memerlukan proteksi lebih tinggi. Preferensi doa dan intensi spiritual bukan sekadar PII — mereka mengungkap keyakinan terdalam seseorang. Di banyak negara, informasi ini bisa digunakan untuk diskriminasi atau persekusi.

**Skala global, governance lokal.** 700K+ pengguna tersebar di puluhan negara dengan regulasi berbeda. Vatikan bukan entitas yang terikat langsung pada GDPR, meskipun penggunanya sebagian besar warga EU. Pertanyaan jurisdiksi ini membuat enforcement menjadi rumit.

**Trust sebagai attack surface.** Pengguna mengunduh aplikasi ini karena mempercayai institusi di belakangnya. Kepercayaan itu menurunkan kewaspadaan — pengguna lebih willing memberikan data sensitif ke aplikasi yang diasosiasikan dengan otoritas moral.

## Implikasi

Kasus ini menegaskan pola yang berulang di application security: **organisasi dengan misi non-teknis sering mengabaikan keamanan dasar karena tidak menganggap diri sebagai "target."** Rumah sakit, universitas, NGO, dan lembaga keagamaan sering kali memiliki postur keamanan yang lebih lemah dari startup kecil — padahal data yang mereka kumpulkan sama sensitifnya.

Untuk developer, pelajarannya sederhana: setiap API endpoint yang mengembalikan data pengguna harus memiliki autentikasi. Tidak ada pengecualian. Tidak peduli seberapa "rendah risiko" datanya terlihat dari perspektif bisnis. Pagination endpoint tanpa auth adalah vulnerability — bukan fitur.

## Referensi

- [Vatican's Official Prayer App Leaks 700K+ Global Users' PII](https://www.darkreading.com/vulnerabilities-threats/vatican-official-prayer-app-leaks-700k-pii) — Dark Reading
- [GDPR Article 9 — Processing of Special Categories of Personal Data](https://gdpr-info.eu/art-9-gdpr/) — GDPR Info

---

*Markdown version of https://www.ciptadusa.com/blog/vatican-prayer-app-700k-pii-leak-20260727 — generated for AI agents and LLM crawlers.*