Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Publicado em 16 de setembro de 2025
O aplicativo brasileiro Sapphos, dirigido a mulheres lésbicas/sáficas, enfrentou uma crise grave poucos dias após seu lançamento: uma vulnerabilidade do tipo IDOR (Insecure Direct Object Reference) expôs informações pessoais sensíveis de usuárias, incluindo fotos, documentos de identidade, datas de nascimento e outros dados que deveriam ser protegidos. Em resposta, o app foi retirado do ar, sua base de dados deletada e assinantes receberam reembolsos. A situação traz à tona desafios jurídicos, de privacidade e de responsabilidade para desenvolvedores de apps — especialmente aqueles que tratam de comunidades vulneráveis.
O que se sabe sobre o incidente
- O Sapphos exigia cadastro com foto segurando documento oficial (como RG) ao lado do rosto, numa tentativa de verificação manual. Porém, o sistema continha falha no back-end: o endpoint da API permitia, com ajustes simples de URL ou IDs, que qualquer pessoa acessasse dados de todas as usuárias. TecMundo+2The Record from Recorded Future+2
- O bug permitia listagem paginada de usuários, revelando não só os dados básicos, mas os documentos exigidos para verificação de identidade. TecMundo+1
- Cerca de 17 mil usuárias foram notificadas de que seus dados foram apagados. Reembolsos foram emitidos para assinaturas premium. O app permanece off-line enquanto a equipe trabalha para reestruturar a segurança do produto. The Record from Recorded Future+2Global Dating Insights+2
Análise técnica e jurídica
Vulnerabilidade técnica: IDOR
A falha identificada é do tipo IDOR, que ocorre quando um sistema expõe identificadores diretos de objetos (por exemplo, nomes de arquivos, IDs, parâmetros de URL) sem checar se quem faz a requisição tem permissão para acessar aquele recurso. Ou seja, não era preciso “invadir” com métodos complexos; bastava explorar a lógica de acesso mal protegid a. TecMundo+2Canaltech+2
Esse tipo de falha é frequente em APIs mal auditadas, e demonstra que, além de segurança de interface, é indispensável controle de acesso robusto, validações de permissão e testes de segurança (pen testing) antes do lançamento.
Responsabilidade legal e risco de dano à privacidade
Para o público jurídico, este caso envolve várias possíveis infrações legais:
- Violação de privacidade: exigindo documentos sensíveis e exigindo verificação de identidade com foto + documento, há tratamento de dados pessoais sensíveis ou pelo menos dados que exigem proteção especial, dada sua natureza.
- Descumprimento da LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018): exigir consentimento claro, garantir medidas de segurança adequadas, avisar titular em caso de incidente, responsabilidade pela falha.
- Possível dano moral: usuárias podem alegar exposição de intimidade, medo, risco de uso indevido dos dados (roubo de identidade, golpes, assédio), e ter direito a indenização por dano moral, presumido ou concreto.
- Dever de transparência e boas práticas: logs, auditorias, notificações, termos de uso claros e proteção de dados desde o design do app.
Responsabilidade civil e penal
- Civil: indenização por danos morais, danos materiais (se alguém sofrer prejuízo financeiro em razão de uso indevido dos dados), obrigação de reparar.
- Penal: dependendo da extensão e tipo de dado, podem incidir artigos de crimes contra a privacidade, “invasão de dispositivo informático” ou “vazamento de informações”, conforme o CP e legislação específica.
Medidas que Sapphos tomou
- Retirou o app da lojas Android e iOS. Canaltech+1
- Deletou a base de dados de usuárias. The Record from Recorded Future+1
- Notificou usuárias via e-mail sobre a exclusão de dados. The Record from Recorded Future+1
- Fez reembolso de assinaturas premium. The Record from Recorded Future+1
Implicações para usuários e para o ecossistema de apps
- Comunidades vulneráveis (mulheres, LGBT+, etc.) ficam em posição de maior risco: exigência de documentos sensíveis, verificação de identidade visual (foto + documento) são delicadas, e a exposição indevida pode gerar consequências reais de segurança pessoal, perseguição ou discriminação.
- Confiança: apps que prometem segurança e acolhimento perdem credibilidade quando falhas emergem. Isso pode afastar usuários e inviabilizar economicamente a operação.
- Reguladores e tribunais podem usar esse exemplo para estabelecer precedentes fortes de punição e de exigência de segurança “desde o início”.
Lições e recomendações para futuros apps
- Desenvolvimento seguro desde o design (“privacy by design”): pensar segurança, validação de permissão, criptografia, testes de segurança desde o início.
- Auditorias independentes e uso de peritos em segurança: para identificar vulnerabilidades como IDOR, injeções, exposição de API, etc.
- Contrato claro com usuários: termos de uso e política de privacidade transparentes, consentimento expresso para uso de dados pessoais sensíveis e coleta de documentos.
- Resposta eficaz a incidentes: plano de resposta, notificação rápida de usuários, correção rápida das falhas, cooperação com autoridades.
- Regulação aplicável: LGPD, Código de Defesa do Consumidor, dispositivos penais para vazamentos de dados e proteção pessoal.
Conclusão
O caso Sapphos serve como alerta: até aplicativos com proposta “segura” ou de nicho (para comunidades específicas) estão sujeitos a graves erros de segurança que afetam profundamente a privacidade dos usuários. A “boa intenção” não substitui a necessidade de processos técnicos robustos, governança clara e responsabilidade legal.
Para o mundo jurídico, esse episódio reafirma a importância de perícia digital, auditorias, precedentes judiciais e legislação que responsabilize os provedores de plataformas. Os danos são reais, ainda que invisíveis inicialmente — e podem gerar reparações significativas.
Fontes:
- The Record / Recorded Future – “Brazil lesbian dating app shuts down after security flaw exposes sensitive user data” The Record from Recorded Future
- TecMundo – “Sapphos: ‘Tinder para mulheres’ tem falha grave denunciada por usuário e sai do ar” TecMundo
- Canaltech – “Sapphos, Tinder lésbico do Brasil, tem falha de segurança grave e é tirado do ar” Canaltech
- Terra / Byte / Terra.com.br – “Hacker invade Sapphos, aplicativo de namoro para mulheres, e consegue acessar dados sensíveis de usuárias” Terra