La aplicación Click to Pray tenía una estructura que asignaba identidades de usuario de forma secuencial y permitía recopilar todos los datos en una sola solicitud, sin ningún límite de velocidad en la API. Esto permitía a cualquier persona extraer automáticamente la base de datos completa de usuarios.
Claves de autenticación almacenadas abiertamente también permitían verificar cuentas sin necesidad de que los usuarios revisaran sus bandejas de correo. Estos errores creaban una fuente ideal para ataques de phishing dirigidos especialmente a usuarios mayores menos familiarizados con la tecnología.
El investigador de seguridad BobDaHacker alertó a las autoridades relacionadas durante seis meses, pero no recibió ninguna respuesta. Los agujeros de seguridad solo fueron cerrados después de que la noticia se hiciera pública. Los desarrolladores de la aplicación no agradecieron en absoluto al investigador.