Este é o primeiro guest post da nossa história. Você vai começar a ler algumas edições escritas por colaboradores de alto calibre, sempre com a qualidade e rigor editorial Growth Insight.
Decidimos abrir a nossa casa para alguns amigos que cumprem uma série de requisitos:
São autoridades em seus ramos de atuação
Gostam de compartilhar conteúdo - e são bons nisso
Falam de temas interessantes aos nossos leitores
O convidado inicial é Eduardo Belotti, cofundador do Real Valor, app de investimentos acelerado pela ACE Ventures em 2017 (lá que nos conhecemos) e comprado pela Empiricus em 2020 (a jornada até o exit é contada de maneira magistral aqui).
Hoje ele escreve a OFF THE GRID, newsletter sobre startups, IA e afins. (assina lá!)
O Edu entrou em hiperfoco e debulhou o que está acontecendo com a internet hoje: ataques massivos colocando em xeque toda a segurança da web - inclusive os desdobramentos para você e seus lindos sites e aplicações.
Vamos lá? Com vocês, Edu Belotti.
🧠 Tempo para escrever: 5 horas
📖 Tempo de leitura: 11 minutos
✍️ Na última edição: Go-to-Market: entenda a sua corrente de distribuição e receita
Pare o que estiver fazendo: a internet está em perigo
Collins me convidou para escrever aqui, e a ideia inicial era falar sobre growth.
Só que não dá para falar sobre growth dado o que aconteceu na internet na semana de 21 de outubro.
A internet está sob ataque e só desenvolvedor está olhando para isso, mas acredito que quem trabalha com marketing PRECISA ficar atento.
Vamos ao texto.
O que aconteceu (por alto)
Em 72 horas, autoridades mandaram tirar do ar sites em PHP, especialistas recomendaram desconectar da internet aparelhos de casa até sair atualização, e teve gente boa falando em "lockdown da internet", estilo Covid.
Resumo: na quarta (21/10) saíram correções de duas falhas gravíssimas no PHP, que roda boa parte dos sites do mundo (WordPress). Elas deixavam um estranho entrar no servidor e mandar nele, sem login e sem senha.
A CISA, agência de cibersegurança dos EUA, mandou atualizar na hora ou tirar o sistema do ar. No Brasil, o SEI saiu do ar, e Anatel e tribunais suspenderam sistemas, segundo o g1.
Quando até os sites do Governo saem do ar, a coisa é séria.
O CEO da Cloudflare viu as tentativas de ataque saltarem de milhares para milhões em poucas horas:
E o PHP foi só o começo. Na mesma semana saíram correções no GitLab (uma falha que existia desde 2014) e no Node.js. No kernel do Linux, falhas graves vazaram antes mesmo da correção.
Uma certificadora indiana, a eMudhra, foi pega com chaves tão fracas que uma delas era, como mostrou o pesquisador Scott Helme, literalmente o número 4.
O LiteLLM, biblioteca usada por muito app de IA, ficou umas duas horas no ar numa versão adulterada que roubava credenciais.
A Railway, onde muita gente hospeda aplicação, pausou os deploys e mandou os clientes trocarem todas as chaves. E dias antes, até um plugin de WordPress, o Rank Math PRO, tinha saído com backdoor.
Qual a gravidade?
O ex-diretor da CISA Chris Krebs disse na CNBC em 23 de outubro que 3% de todas as vulnerabilidades críticas já descobertas foram achadas no último mês.
Fonte: CVE Tracker. Total mensal de CVEs (common vulnerabilities and exposures) publicadas, de todas as severidades, não só as críticas.
Jason Clinton, vice-chefe de segurança da Anthropic, foi mais direto: vai piorar muito antes de melhorar, e a ajuda que precisamos agora é pro básico, não pra IA. Ele fechou com um parêntese que dá frio na barriga: "precisamos aguentar uns 18 meses".
Como o tema me interessa muito, tinha escrito +- mais 1000 palavras nessa introdução e percebi que não tinha o menor cabimento. Cortei tudo.
Caso você queira se aprofundar, deixei uma série de links sobre o tema ao final desta edição.
A IA é uma faca de dois gumes
A IA derrubou a barreira de entrada para criar.
Em 2017, eu e meu sócio levamos uns 2 meses pra colocar um app no ar. Hoje, uma pessoa sem saber programar faz isso em uma hora.
Só que o hacker ganhou o mesmo superpoder.
Caçar uma falha grave num software usado por todo mundo exigia um time de especialistas e meses. Agora dá pra soltar uns agentes de IA vasculhando código e voltar umas horas depois.
A Wiz, uma das empresas que acharam as falhas do PHP com ajuda de IA, contou que um pesquisador fez em uma semana o que levaria meses a um time de elite.
Antes de chegarmos ao sombrio capítulo da história da revolução das máquinas em que a IA vira a Skynet, vem o capítulo onde o ser humano direciona a IA para fazer mal por ele.
Esse capítulo começou.
"Mas isso não é comigo"
É sim. O que tá sendo atingido são os tijolos da internet: PHP, Node.js, GitLab, bibliotecas de IA. As ferramentas por baixo do seu site, do seu CRM e daquele app que você publicou no fim de semana.
E se até software profissional tinha falha grave escondida há anos, imagina o que foi publicado com dois prompts numa terça à noite.
A RedAccess analisou apps feitos com Lovable, Replit e outras ferramentas e achou mais de 5.000 sem autenticação nenhuma.
E isso não é só gringo: em março, um “guru do vibe code” brasileiro lançou um app prometendo R$ 100 mil por mês e deixou o arquivo .env (com senhas e chaves de acesso) público no GitHub. Duas horas depois, os dados dos usuários estavam expostos.
📌 Pode te interessar:
Você virou o seu próprio head de segurança
Segundo o Code Report, do Fireship, o atacante de hoje não quer mais seus dados, quer suas chaves de API. Como disse o Greg Isenberg, chave de API virou basicamente um cartão de crédito de computação.
Deixar a chave da OpenAI no código da sua landing page é deixar um cartão sem limite na mesa do bar.
Quem pegar não precisa invadir sua casa, só sair gastando, e a fatura chega no seu nome.
O que fazer, na prática
Pouca coisa, graças a Deus?
Nada aqui exige virar dev. Exige criar hábito.
No seu negócio
Atualize tudo. Se seu site roda em WordPress, confirme com a hospedagem que o PHP do servidor foi atualizado. Atualizar só o WordPress não resolve.
Chave de API nunca no front: o que roda no navegador qualquer visitante lê. Use o cofre de segredos da plataforma ("Secrets" do Lovable e do Replit).
Uma chave por projeto, com limite de gasto e alerta. Troque as chaves se usava Railway, LiteLLM ou qualquer serviço que avisou de incidente.
Antes de publicar, peça pra própria IA revisar a segurança e abra o app numa aba anônima pra ver o que um estranho vê. Se você não pedir, ela não se preocupa com isso.
Desligue o que ninguém usa e revogue apps com acesso à conta do Google ou Microsoft que ninguém lembra de ter autorizado.
Na vida pessoal
Atualize e reinicie celular, computador e navegador. Muita correção só vale depois do restart.
Passkey ou app autenticador no e-mail e no banco, e um gerenciador de senhas.
Nunca entregue login e senha do banco para um agente de IA. Segundo a Axios, bancos americanos já estão achando agentes de terceiros em contas de clientes.
Câmera, HD de rede e casa inteligente: atualizados, em Wi-Fi de convidado, e fora da internet se o fabricante ainda não corrigiu.
Mas ainda assim, existe risco
Você pode fazer tudo certo e ainda assim ser afetado: uma biblioteca que você nem sabia que usava foi adulterada, ou o fornecedor que hospeda seu app foi invadido.
Mas dá pra reduzir o risco, e quando um serviço seu avisar de incidente, vale parar dez minutos pra entender, em vez de arquivar o e-mail junto das promoções.
Se você levar uma única ideia deste texto, que seja esta: não confunda aplicação funcionando com aplicação segura.
A sua calculadora de CAC pode estar linda, convertendo e gerando lead todo dia, com a chave da OpenAI exposta pra qualquer um copiar. Funcionar e estar seguro são provas diferentes, e o vibe coding só te aplica a primeira.
Não precisa ficar paranoico também.
Mas a verdade é que a internet agora se parece bastante com o Rio de Janeiro.
Se você souber onde ir, como se portar e não der mole, tem grandes chances de você não se dar mal (embora ela não seja zero). Mas isso não impede a cidade de ser maravilhosa.
Só peço para que você se cuide e não fique dando mole com o celular na rua e nem indo pra lugar estranho à noite.
[Nota da Redação: o autor é carioca e fala com conhecimento de causa.]
Links sobre o “Black October”
Eduardo Belotti é cofundador do Real Valor e fundador da Scarf.
Hoje escreve a OFF THE GRID.
Fazer login ou Inscrever-se participar