Quando surge um app novo com promessa de substituir um app estabelecido no mercado e com muitos insatisfeitos, a reação natural é: “quero testar”. Mas ser cedo demais às vezes significa entrar num beta público – e, nesse caso, pagar com dados pessoais.
A Kippu, plataforma criada pela streamer Mayumi foi apresentada como uma alternativa a serviços conhecidos como Privacy e Onlyfans. Pouco depois do site ir ao ar, pesquisadores e desenvolvedores identificaram vulnerabilidades graves que permitiam requisições simples ao backend retornarem informações sensíveis de usuários (nomes, e-mails, telefones e endereços). Além disso, foi relatada a possibilidade de baixar conteúdos que deveriam estar protegidos por pagamento. Em razão disso, o lançamento foi adiado, pagamentos foram reembolsados e parte dos dados removida pela equipe.
Não é só “um erro de código”, é confiança em jogo
Erros acontecem. O problema é a natureza dos erros: quando uma API não exige autenticação adequada, o que está em risco não é só a reputação técnica, é a segurança financeira e a privacidade de pessoas reais. Plataformas de assinatura lidam com pagamentos, conteúdo privado e dados sensíveis, por isso costumam investir pesado em segurança antes de abrir as portas. O caso escancarou um problema claro no “vibe coding” (programação criada por IA): facilidade de lançamento não substitui auditoria, testes de segurança e práticas básicas de proteção.
(Resumo técnico curto: a falha permitia listar tabelas e acessar endpoints que deveriam estar restritos. Resultado: dados pessoais + registros ligados a pagamentos e tokens foram expostos. )
Desenvolvedores: lançar rápido NÃO é desculpa
Hoje é fácil montar um MVP funcional com pouco esforço. Mas “funcional” precisa ser também “seguro”, se o produto mexe com:
- autenticação e sessão,
- informações de pagamento,
- conteúdo pago protegido,
Você precisa de checklist mínimo antes de liberar acesso público: testes de penetração, revisão de endpoints, controle de acesso por roles, monitoramento de logs e um plano claro de resposta a incidentes. Lançar e consertar depois pode custar bem mais – em dinheiro e na confiança do público.
Usuário: um pouco de paciência paga (literalmente)
Ser o primeiro pode trazer status, mas também exposição. Antes de se cadastrar em apps novos, vale perguntar:
- Quem está por trás do serviço?
- Onde os dados ficam armazenados?
- Existe política clara de privacidade e prazo de retenção?
- Há histórico técnico ou auditoria pública?
Se a resposta for vaga ou o app pedir acesso desnecessário (lista de contatos, fotos, pagamentos sem TLS claro), dê um passo atrás. No caso do Kippu, os riscos não eram abstratos: informações sensíveis de usuários e conteúdos pagos ficaram acessíveis a quem soubesse procurar.
O que eu faria se fosse você
- Pesquisar quem são os fundadores e se há histórico técnico.
- Ler a política de privacidade – não só o resumo.
- Esperar versões posteriores (quando houver prova de auditoria ou correções públicas).
- Evitar cadastrar dados sensíveis até ter garantia de segurança.
- Se já se cadastrou e houve vazamento: mudar senhas (se usou a mesma), monitorar cartões e, se possível, solicitar a exclusão de dados.
Responsabilidade é via de mão dupla
O episódio do Kippu não é só um caso de “lançamento que deu errado”. É um lembrete prático: criar produto é fácil; proteger produto é trabalho sério. E do outro lado, o usuário precisa de ceticismo ativo, sem panfletagem alarmista, mas com senso de preservação.
Se a plataforma corrigir as falhas, fizer auditoria e comunicar com transparência, pode voltar com legitimidade. Até lá, ser o “testador” pode custar algo que não tem preço de reposição: a sua privacidade.