Click to Prayアプリは、ユーザーIDを連番で割り当て、APIに速度制限を設けず、単一のリクエストで全ユーザーデータを抽出できる構造になっていた。これにより、誰でもユーザーDBを自動で全量取得可能だった。

認証キーが明示的に保存されていたため、ユーザーはメールボックスを確認せずともアカウント認証ができた。この脆弱性は、テクノロジーに不慣れな高齢者を狙ったフィッシング攻撃の理想的な素材となった。

セキュリティ研究者BobDaHackerは6か月にわたり関係機関に警告を続けたが、一切の返答がなかった。報道で問題が公になった後、ようやく脆弱性は修正された。アプリ開発者は研究者に一切の謝意を示さなかった。