Vaticano, dati di 700 mila fedeli esposti. Possono diventare arma di ricatto
di Investigatore Biblico
Da tempo richiamo l’attenzione su un problema che non può più essere considerato marginale: la sicurezza informatica delle realtà collegate alla Santa Sede e alle istituzioni ecclesiali.
Quanto accaduto a Click to Pray, l’applicazione ufficialmente collegata alla Rete Mondiale di Preghiera del Papa, mostra quanto questo allarme fosse fondato e quanto urgente sia ora una risposta seria.
Secondo quanto ricostruito da Dark Reading, una vulnerabilità dell’applicazione avrebbe reso accessibili per oltre sei mesi i dati personali di circa 720 mila utenti. Sarebbe stato sufficiente modificare l’identificativo numerico progressivo associato a ciascun profilo per visualizzare informazioni quali nome, cognome, indirizzo di posta elettronica e data di nascita. L’assenza di autenticazione adeguata e di limiti alle richieste avrebbe inoltre potuto permettere a un programma automatico di consultare in successione un numero enorme di profili. La vulnerabilità, individuata nel gennaio 2026 e segnalata senza ottenere inizialmente risposta, sarebbe stata corretta soltanto dopo la pubblicazione giornalistica del caso.
Occorre essere precisi: allo stato delle informazioni pubbliche, è accertata l’esposizione dei dati, non è invece dimostrato che l’intero archivio sia stato effettivamente sottratto da criminali informatici. Ma proprio qui sta la gravità della vicenda. Quando una porta rimane aperta per mesi, nessuno può limitarsi a osservare che non vi siano prove pubbliche dell’ingresso di un ladro. È necessario verificare i registri, ricostruire gli accessi, comprendere se siano avvenute interrogazioni anomale e informare con trasparenza le persone potenzialmente coinvolte.
Gli hacker non cercano soltanto password o numeri di carte di credito. Raccolgono nomi, indirizzi, date di nascita, relazioni, abitudini e interessi, per poi unire queste informazioni ad altri dati provenienti da violazioni differenti. Un elenco di fedeli legati a un’applicazione del papa permette di costruire messaggi di phishing particolarmente credibili: false comunicazioni ecclesiali, richieste di offerte, inviti a iniziative religiose, finte raccolte di solidarietà oppure collegamenti predisposti per sottrarre ulteriori credenziali.
Esiste poi un pericolo ancora più delicato, che non può essere taciuto: le informazioni sottratte possono trasformarsi in un’arma di ricatto. Un indirizzo di posta elettronica, apparentemente innocuo, può condurre ad altri account; una data di nascita può facilitare il furto d’identità; l’appartenenza a una rete religiosa può essere sfruttata per esercitare pressioni, intimidire o colpire persone che vivono in Paesi ostili alla fede cristiana. Se tra gli utenti, i collaboratori o il personale fossero presenti sacerdoti, religiosi, dipendenti ecclesiastici o persone con incarichi sensibili, la profilazione potrebbe assumere un valore ancora maggiore.
Il ricatto informatico non nasce necessariamente da un’unica informazione compromettente. Molto spesso nasce dall’incrocio di frammenti: identità, contatti, ruoli, corrispondenza, frequentazioni e credenziali riutilizzate. Da questi frammenti si costruisce un profilo della vittima e, attraverso il profilo, si individua il punto sul quale fare pressione. Per questo proteggere i dati non significa difendere semplicemente un archivio digitale: significa custodire persone reali, la loro libertà, la loro reputazione e, in alcuni casi, persino la loro incolumità.
La sicurezza vaticana è certamente preparata sul piano della protezione fisica. La Gendarmeria, la Guardia svizzera pontificia, i controlli degli accessi, la sorveglianza degli edifici e il coordinamento durante le celebrazioni e gli incontri internazionali costituiscono un apparato visibile e articolato. Si proteggono il Santo Padre, le persone, i luoghi e gli eventi. Ma oggi una parte considerevole della vita di un’istituzione non si trova soltanto dietro le mura: si trova nei server, nelle applicazioni, nelle caselle di posta, nei dispositivi mobili e nelle piattaforme affidate a soggetti esterni.
Non sarebbe corretto dedurre da questo singolo episodio che tutta l’infrastruttura informatica vaticana sia vulnerabile. Sarebbe però altrettanto irresponsabile considerarlo un incidente isolato e già superato. La durata della vulnerabilità, la semplicità del possibile accesso e, soprattutto, il ritardo con cui le segnalazioni sarebbero state prese in considerazione fanno pensare a un problema più profondo: non soltanto tecnico, ma organizzativo e culturale. Una segnalazione di sicurezza non può vagare per mesi tra indirizzi di posta elettronica senza che qualcuno la valuti, la classifichi e le assegni una risposta urgente.
Il papa dovrebbe prendere in seria considerazione questa materia, promuovendo una verifica indipendente delle applicazioni e dei servizi digitali riconducibili alla Santa Sede o alle organizzazioni pontificie. Occorrono controlli periodici, procedure certe per ricevere le segnalazioni dei ricercatori, sistemi di rilevamento degli accessi anomali, regole rigorose per i fornitori esterni e una struttura capace di intervenire immediatamente. Sarebbe inoltre opportuno verificare se i dati siano stati consultati in modo massivo e valutare una comunicazione diretta agli interessati, affinché possano riconoscere eventuali tentativi di phishing costruiti sfruttando la loro appartenenza religiosa.
La Chiesa ha sempre custodito ciò che le persone le affidano: una confessione, una sofferenza, una domanda di aiuto, una storia familiare. Nel mondo digitale questa responsabilità non viene meno; diventa, semmai, ancora più esigente. Un dato personale consegnato a un’applicazione ecclesiale è anch’esso una forma di fiducia. Lasciarlo esposto significa ferire quella fiducia e rendere vulnerabili proprio coloro che si erano avvicinati alla Chiesa per pregare.
Per il bene della Chiesa è dunque necessario riconoscere che il problema può essere più grande di quanto appaia. Non servono allarmismi, ma neppure rassicurazioni prive di verifiche. Servono competenza, trasparenza, umiltà e la volontà di ascoltare anche chi, dall’esterno, segnala un pericolo.
Per questa ragione, mettendo a disposizione l’esperienza maturata in anni di studio della sicurezza informatica e delle minacce cibernetiche, mi propongo come consulente a titolo completamente gratuito per offrire un contributo di analisi e prevenzione. Qualora qualcuno in Vaticano desiderasse contattarmi, può scrivere a questo indirizzo: investigatorebiblico@protonmail.com
Custodire la Chiesa oggi significa anche custodirne le porte digitali. Perché una porta informatica lasciata aperta non espone soltanto dei dati: può consegnare persone, relazioni e responsabilità nelle mani di chi intende trasformarle in inganno, pressione o ricatto.
