Sapphos: 'Tinder para mulheres' tem falha grave denunciada por usuário e sai do ar

Fonte: TecMundo

Um aplicativo de relacionamentos exclusivo para mulheres, com registro autorizado apenas mediante documentos pessoais. Embora pareça uma proposta com boas intenções à primeira análise, não demorou para que muitos usuários começassem a suspeitar das exigências – e hoje (8), um suposto vazamento de dados teria se confirmado. O caso em questão trata do Sapphos App, recentemente lançado para Android e iOS.

Segundo a descrição em seu site oficial, o aplicativo foi pensado “para ser um espaço seguro, acolhedor e respeitoso para todas as pessoas que buscam conexões afetivas”. Para criar tal ambiente, o Sapphos exige que as candidatas à inscrição enviem uma foto segurando seu RG ao lado do rosto. Manual, o processo de avaliação não possui automação, sendo revisado por membros da equipe interna.

A escolha pela revisão humanizada não é por acaso. Conforme explica a Sapphos em uma postagem, a decisão se dá pelas falhas de identificação frente à diversidade das usuárias, como as mulheres não-femininas – que acabam sendo falsamente rejeitadas como homens.

Tela de verificação de perfil da Sapphos. (Fonte: Adriano Camacho)Ainda que pareçam rigorosas em excesso, as decisões partem de um princípio comum – o crescente índice de violência contra mulheres, além de crimes contra minorias LGBTQIAPN+. 

Segundo dados do Painel Violência Contra a Mulher de 2025, publicado pelo Conselho Nacional de Justiça (CNJ), o número de casos de feminicídio julgados aumentou mais de 225%, passando de 3.375 para 10.991 desde 2020. Similarmente, dados do Sistema Nacional de Agravos de Notificação (Sinan) apontaram um aumento de 50% nos casos de violência contra lésbicas no Brasil, entre 2015 e 2022.

Casos de feminicídio por ano, atualizado em 2025. (Fonte: CNJ / Reprodução)Por outro lado, a falta de transparência e histórico da equipe responsável pelo aplicativo causou desconfiança entre as candidatas interessadas. Em publicações feitas no X (antigo Twitter), usuárias chegaram a alertar para potenciais usos maliciosos das imagens, incluindo para forjar empréstimos ou acessar sistemas com múltiplas formas de autenticação (MFA).

Problemas de vulnerabilidades no Sapphos expõe dados pessoais de usuárias

Nesta segunda-feira (8), o usuário do X (antigo Twitter) @acgfbr realizou uma investigação no código do Sapphos e compartilhou os resultados com o público. Segundo ele, o aplicativo possui falhas graves que permitem o acesso indevido e irrestrito a imagens das usuárias. As evidências de acesso indevido foram compartilhadas em anexo, parcialmente censuradas.

Segundo sua apuração, a falha apresentada é do tipo IDOR (Insecure Direct Object Reference), que ocorre quando o sistema expõe identificadores diretos de recursos, como IDs, nomes de arquivos ou chaves sem verificar se o solicitante tem permissão para acessá-los.

Postagem original alertando sobre falhas no Sapphos, no X (antigo Twitter). (Fonte: X/ Reprodução)Em comentários ao TecMundo, @acgfbr (também conhecido como ‘Antonio Real Oficial’) afirmou que “gostaria de proteger a comunidade LGBT antes que alguém mal-intencionado obtivesse esse acesso indevido”. Segundo ele, a falha era simples: “o endpoint no cadastro e login, além de retornar os dados do usuário, retornava o dado de TODOS os usuários paginados”. Conforme ele explica, por meio da falha seria possível obter todas as informações do cadastro – desde data de nascimento, CPF, e fotos.

“A intenção nunca foi prejudicá-los, mas sim alertar sobre a falha” — Antonio Real Oficial (@acgfbr), ao TecMundo

Em resposta ao exposto, a Sapphos condenou a ação de @acgfbr como uma tentativa de ataque realizada por “homens mal-intencionados” e comunicou que está investigando o caso, além de ter isolado o ambiente afetado. Nesse contexto, é importante lembrar que, independente das intenções, o acesso indevido a um sistema privado ainda é considerado invasão – exceto em casos em que há programas de recompensa ou autorização expressa da empresa.

Postagem da Sapphos sobre o caso. (Fonte: Sapphos, Adriano Camacho / Reprodução)Nos comentários da publicação, os usuários repudiaram a postura da Sapphos, que confirmou a existência da vulnerabilidade IDOR. Diante da repercussão, Antonio afirma que avalia os próximos passos: “eu ainda estou pensando no que vou fazer,” pondera, “eles estão me caluniando na internet”.

Posicionamento da Sapphos sobre o caso ao TecMundo

O TecMundo entrou em contato com a Sapphos, que cedeu um comentário oficial e exclusivo sobre o caso.