Hacker encontra falha de segurança na SmartFit usa vibecoding para controlar catracas
Um usuário identificado como @akaclandestine publicou no X um endereço IP pertencente à infraestrutura da Smart Fit que está acessível para qualquer pessoa direto da internet pública.
Outro usuário, o @uphiago, aproveitou a brecha e desenvolveu um dashboard que consome os dados em tempo real e exibe informações como nome completo, foto de perfil, número parcial de documento, tipo de plano e status do acesso.
Segundo o próprio usuário, o sistema também permitia escrever nessa API. Ou seja, enviar comandos de volta. Ele afirmou ter automatizado a liberação das catracas, permitindo que qualquer pessoa entrasse nas unidades sem pagar. “Hoje o treino é por minha conta”, escreveu.
Do ponto de vista técnico, a causa provável é uma API interna exposta sem proteção. Esse tipo de falha costuma acontecer quando ambientes de desenvolvimento ou testes são colocados em produção sem a devida configuração de segurança, ou quando uma atualização de infraestrutura acidentalmente torna acessível uma porta que deveria permanecer privada.
As implicações legais são sérias. A Lei Geral de Proteção de Dados (LGPD) obriga empresas a adotar medidas técnicas e administrativas para proteger dados pessoais. Vazamentos decorrentes de negligência podem resultar em multas de até 2% do faturamento anual da organização no Brasil.
E, segundo usuários no X, não é só a empresa que sofre as consequência, mas quem divulga também. “Isso é crime, ele sabe que o sistema não é destinado a uso público e está explorando um erro para acessá-lo e interferir nas operações da empresa”.
A avaliação está correta do ponto de vista jurídico. O Art. 154-A do Código Penal brasileiro tipifica exatamente esse tipo de conduta: invadir dispositivo informático alheio com o fim de obter dados ou informações sem autorização, com pena de reclusão de 1 a 4 anos e multa.
Como de costume, a internet brasileira transformou o vazamento em meme. Muitos usuários começaram a pedir para entrar de graça: “A mensalidade tá cara”, comentaram.
Para o CATAI, a Smart Fit informa que uma de suas unidades franqueadas realmente identificou uma ocorrência de acesso indevido a um sistema local, mas que a situação foi detectada e corrigida, sem impacto à continuidade das operações da unidade.
A companhia deixou claro que mantém investimentos contínuos no aprimoramento de seus sistemas e protocolos de segurança.
