Segurança e transparência

O que aconteceu

Em 9 de junho de 2025 o pesquisador de segurança Eric Daigle encontrou uma vulnerabilidade no nosso serviço. Um endpoint da nossa API aceitava requisições sem autenticação e não sanitizava um dos seus parâmetros, o que permitiu extrair dados do banco por injeção de SQL.

O que foi extraído foi, sobretudo, a tabela de contas: endereços de e-mail e senhas armazenadas em texto simples. O despejo alcançou também outras tabelas que ligavam contas a aparelhos, além de estatísticas internas.

Os números publicados diferem conforme a fonte, e preferimos dar os dois: o Have I Been Pwned registrou 61.641 contas; o pesquisador e a imprensa falaram em 62.050. Não temos uma explicação documentada para essa diferença. Os registros incluíam contas criadas desde 2018.

Há duas coisas aqui que não admitem atenuante e são responsabilidade nossa: aquelas senhas não deveriam estar armazenadas em texto simples, e aquele endpoint não deveria estar acessível sem autenticação.

O que foi exposto, e o que não

Foi exposto o e-mail e a senha de acesso ao painel de cada conta de cliente, em texto simples, junto com identificadores internos e datas de criação e de última atividade.

O conteúdo capturado dos aparelhos supervisionados — mensagens, fotos, áudio, localização — não estava no sistema afetado: ficava em uma infraestrutura separada, e o que vazou foi o backend de gestão de usuários. Mas é preciso dizer a outra metade com todas as letras: a senha vazada de cada conta é a senha do painel. Quem tivesse aquelas credenciais podia entrar naquela conta e ver, a partir dali, o conteúdo dos aparelhos ligados a ela. É por isso que o incidente é grave mesmo com o conteúdo fora do banco afetado — e por isso a troca de senha deveria ter sido forçada, não apenas recomendada.

Sobre os números que circulam: o Have I Been Pwned lista como dados comprometidos «endereços de e-mail» e «senhas», que é a tabela de contas; o TechCrunch descreveu o banco como contendo também dados de 26.000 aparelhos. As duas coisas são compatíveis: junto à tabela de contas, o despejo alcançou tabelas que ligavam contas a aparelhos. O que não estava naquele banco era o conteúdo capturado.

O que fizemos, e o que fizemos tarde

Em 27 de junho de 2025 a via de exploração foi bloqueada com um firewall de aplicação. Três dias depois o sistema foi migrado: o endpoint passou a exigir autenticação e as senhas deixaram de ser armazenadas em texto simples — hoje ficam com hash.

Os titulares das contas foram avisados do incidente pelo painel de controle, com a recomendação de trocar a senha.

E há três coisas que não fizemos bem. O aviso foi dentro do painel: quem não voltou a entrar não ficou sabendo, e um incidente com senhas em texto simples pedia um e-mail a cada titular, não uma mensagem que é preciso ir procurar. A troca de senha foi recomendada em vez de forçada, quando o correto era invalidar todas. E não respondemos à imprensa: em julho de 2025 o TechCrunch escreveu em inglês e em espanhol perguntando, entre outras coisas, se íamos comunicar o incidente aos clientes, e não respondemos. O silêncio foi pior do que qualquer resposta que pudéssemos ter dado, e é a razão pela qual esta página existe.

Se você tinha uma conta antes de julho de 2025

A sua senha daquela época foi exposta em texto simples. Ainda que hoje o armazenamento seja diferente, considere aquela senha comprometida.

Troque-a no CatWatchful pelo seu painel. E troque-a em qualquer outro serviço onde a reutilizou: esse é o risco real de um vazamento de senhas em texto simples, e não é a sua conta aqui — é o seu e-mail ou o seu banco, se você repetia a mesma senha.

Você pode verificar o seu endereço no Have I Been Pwned. O nosso incidente está listado como violação sensível, então só é possível consultá-lo comprovando que aquele e-mail é seu.

Se você acha que monitoraram o seu telefone sem que soubesse

O CatWatchful é uma ferramenta de controle parental e os nossos termos proíbem usá-la sobre um adulto sem o consentimento dele. Isso não muda o fato de que alguém possa tê-lo feito.

Para verificar se o app está instalado em um telefone Android: disque 543210 no teclado do telefone e pressione chamar. Se estiver, a tela de configuração dele se abre.

Antes de desinstalar, leia isto. Se você suspeita que quem o instalou pode reagir com violência, remover o app pode avisá-lo de que você descobriu e aumentar o risco. As organizações especializadas em violência por parceiro íntimo recomendam, nesse caso, não desinstalar de imediato e buscar apoio primeiro a partir de um dispositivo seguro, que não seja o telefone monitorado.

Se quiser que apaguemos os dados associados ao seu aparelho, escreva de um dispositivo seguro para admin@catwatchful.com.

Como os dados são guardados e apagados hoje

As senhas ficam armazenadas com hash, não em texto simples. O endpoint que foi explorado exige autenticação, e há também um firewall de aplicação à frente.

Você pode apagar a sua conta quando quiser pelo seu próprio painel de controle. E os dados capturados dos aparelhos são apagados automaticamente após 3 meses, sem precisar pedir.

Cronologia

1. 9 de junho de 2025 — Eric Daigle encontra a vulnerabilidade.
2. 23 de junho de 2025 — O Google é avisado.
3. 25 de junho de 2025 — O provedor de hospedagem e o operador do serviço são avisados. O site cai no mesmo dia.
4. 26 de junho de 2025 — O serviço é restaurado em outro domínio, ainda vulnerável.
5. 27 de junho de 2025 — A exploração é bloqueada com um firewall de aplicação.
6. 30 de junho de 2025 — Migração do sistema: autenticação no endpoint e senhas com hash.
7. 2 de julho de 2025 — Daigle publica o seu relatório e o TechCrunch a sua reportagem.
8. 3 de julho de 2025 — O Have I Been Pwned registra a violação e a marca como sensível.
9. 25 de julho de 2025 — O Google suspende a infraestrutura Firebase associada.