Caso T-App Hack: análise técnica e de segurança

O que é o caso T-App Hack

A T-App era uma aplicação só pra mulheres, focada em compartilhar informações sobre relacionamentos. Pra garantir o acesso a esse espaço, exigia verificação pesada, incluindo selfies e documentos de identidade. Esses dados sensíveis foram expostos publicamente.

Mas foi realmente um hack?

Mesmo que muita gente argumente que não teve invasão ativa, o termo "hack" faz sentido aqui. Alguém achou uma forma de acessar todos os dados privados ao descobrir endpoints mal configurados, expondo arquivos do Firebase Storage com dados privados sem auth nenhuma.

Quais dados foram expostos

Imagens faciais, fotos de identificação e metadados vinculados às imagens enviadas pelas usuárias entre 2022 e início de 2026 tavam públicos. Informações sensíveis tipo localização nos metadados EXIF também estavam expostas, junto de mensagens privadas que vazaram em outro endpoint comprometido.

Como o vazamento aconteceu

Os uploads da etapa de verificação eram armazenados no Firebase Storage — mas o bucket tava público, e as URLs foram todas expostas. Pior: a API que listava os arquivos desse bucket também tava aberta, deixando qualquer pessoa coletar URLs em massa.

Firebase foi o culpado direto?

Na real, o erro foi da equipe de dev que adotou o Firebase sem entender os padrões de segurança. O Firebase por padrão não bloqueia acesso via URL, e os endpoints precisam ser configurados com cuidado usando regras de auth — coisa que aparentemente nunca rolou.

Erro de design, não apenas de código

O sistema da T-App foi feito pra rapidez, não pra segurança. Armazenaram dados sensíveis sem encriptação, sem controle de acesso e sem auditoria. Isso mostra decisões de design mal pensadas, tornando o caso ainda mais grave.

O impacto para os usuários

Usuárias que confiaram rostos e documentos pra T-App agora enfrentam risco de exposição pública e até chantagem. É quebra de confiança pesada. Não importa se você concorda com o propósito do app: ninguém deveria ter seus dados expostos assim.

Firebase Storage: como funciona (e por que pode ser inseguro)

O Firebase deixa você armazenar arquivos estáticos, acessados por URL. Se sua regra de segurança liberar acesso público ou não tiver regra nenhuma, qualquer um com a URL certa vai baixar os arquivos — e endpoints mal feitos podem vazar as URLs em lote.

Entendendo o padrão de falhas

Como prevenir vazamentos como esse

Ferramentas úteis para auditar segurança