Hacker invade Sapphos, aplicativo de namoro para mulheres, e consegue acessar dados sensíveis de usuárias

No dia 29 de agosto, o Dia Nacional da Visibilidade Lésbica, foi lançado o Sapphos, aplicativo de relacionamento voltado para mulheres sáficas, aquelas que sentem atração por mulheres, independentemente da orientação sexual. Contudo, apesar do lançamento super recente, o aplicativo já enfrenta uma grande crise. Poucos dias após a estreia, a plataforma saiu do ar depois que um usuário do X (antigo Twitter) denunciou uma grave vulnerabilidade no sistema de segurança do aplicativo, que permitia o acesso a informações sigilosas das usuárias, como fotos de documentos pessoais exigidos no cadastro. Além de gerar grande repercussão nas redes sociais, o caso levantou dúvidas sobre a forma como dados sensíveis estavam sendo tratados.

Falha em aplicativo de namoro para mulheres expõe fotos e documentos das usuárias

Na segunda-feira (8), um usuário da plataforma X (@acgfbr), conhecido como Antônio Real oficial, relatou em sua rede que conseguiu acessar dados privados de todas as usuárias do Sapphos. Segundo ele, o problema estava relacionado a uma falha do tipo IDOR (Insecure Direct Object Reference), um erro que ocorre quando sistemas expõem identificadores diretos de recursos sem verificar se o usuário realmente tem permissão para acessá-los.

Isso significa que, ao manipular números de identificação nos links do sistema, era possível visualizar informações sigilosas, como nome completo, data de nascimento e até as fotos enviadas para a etapa de verificação, em que as usuárias precisavam mostrar o RG ao lado do rosto.

Especialistas em cibersegurança explicam que esse tipo de falha é especialmente grave quando envolve dados sensíveis. Nesses casos, em que informações pessoais estão envolvidas, como documentos, é preciso adotar criptografia e armazenar de forma segura as informações.

Em Xataka Brasil

Hacker tenta roubar conta antiga da Steam que só tinha um jogo

Sapphos reconhece problema e tira aplicativo do ar

Diante da repercussão do caso no X, a equipe responsável pelo Sapphos decidiu retirar o aplicativo das lojas da Apple e do Google. Em nota oficial para o Tecmundo, a empresa reconheceu o acesso indevido, mas negou que tenha ocorrido o vazamento de informações privadas dos usuários.

Segundo o comunicado, o Sapphos era uma versão beta, ou seja, uma uma versão de testes, de pré-lançamento. No entanto, o aplicativo acabou viralizando rapidamente, com cerca de 40 mil downloads e 17 mil contas ativas, durando no ar apenas 48 horas. Além do vazamento de informações pessoais, as usuárias também estavam com medo de terem dados bancários vazados, já que algumas delas realizaram pagamentos na plataforma, com planos anuais que chegavam a R$500. Contudo, a equipe afirmou que não armazena dados bancários dos usuários, já que os pagamentos eram processados pelas próprias lojas de aplicativos, e que todos os registros e imagens coletados foram deletados após a retirada da plataforma. Eles também informaram que vão realizar a devolução desse valor pago. 

O time de desenvolvedores do aplicativo também informou ter registrado boletim de ocorrência na Delegacia de Crimes Cibernéticos e na Delegacia da Mulher após a invasão, reforçando que a prioridade é garantir a segurança da comunidade. Em relação a invasão cometida pelo hacker do X (@acgfbr), a Sapphos desaprovou a ação, alegando que sofreu uma tentativa de ataque realizada por “homens mal intencionados”.

Empresa alega ter sofrido uma tentativa de invasão por parte de um grupo de homens. Créditos: X/Reprodução

Termos de uso da Sapphos levantam dúvidas sobre legalidade

Como se já não bastasse toda preocupação envolvendo o vazamento de dados dos usuários do Sapphos, outro ponto de preocupação envolve os Termos de Uso do aplicativo. Capturas de tela compartilhadas por usuárias do X mostram cláusulas que autorizavam o Sapphos a utilizar e explorar comercialmente conteúdos publicados dentro da plataforma, algo considerado abusivo pela Lei Geral de Proteção de Dados (LGPD), lei brasileira que estabelece regras para a coleta, uso, armazenamento e compartilhamento de dados pessoais por empresas e órgãos públicos.

Além disso, o contrato previa regras como arbitragem obrigatória e renúncia a ações coletivas, condições que não têm validade jurídica no Brasil, pois o Código de Defesa do Consumidor garante que esse direito é irrenunciável, ou seja, incontestável.  Então o que deve acontecer com a Sapphos depois de tudo isso? Se for comprovada uma violação legal, a empresa pode ser responsabilizada e multada em valores que chegam a 10% do faturamento. Além disso, caso os dados dos usuários sejam utilizados indevidamente, a empresa também sofrerá penalidades criminais.